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Anordnxmg zum Erfassen und gesicherten Speichem 
von Erfasa\ingswerten ; \ 


Die vorliegende Erf indxing betrif f t eine Anordnung zum Erfassen 
imd gesicherten Speichem wenigstens eines ersten EEfassaings- 
wertes wenigstens einer ersten ErfassTmgsgr6J3e mi t . wenigstens 
einer ersten Erfass\ingseinrichtung zur Erfassxmg des ersten 
Erfassungswertes und eiiier mit der ersten Erf assungseinrichtung 
verbundenen Sicherheitseinrichtvmg, die eine Verarbeitungsein- 
heit, einen damit verbiindenen ersten Speicher sowie eine mit 
der Verarbeitungseinheit verbundene erste Schnittstellenein- 
richtung umfasst. Die Sicherheitseinrichtung ist dabei zum vor 
unbefugtem Zugriff gesicherten Speichem des ersten Erfassimgs- 
werts in dem ersten Speicher ausgebildet. Die erste Schnitt- 
stelleneinrichtung ist zum Zugreifen auf die Sicherheitsein- 
richtung, insbesondere zum Auslesen des ersten Erfassungswertes 
aus dem ersten Speicher ausgebildet. Die erste Erf assungsein- 
richtung umfasst weiterhin eine mit der Sicherheitseinrichtung 
verbundene Erf assungseinheit , die zxir ira wesentlichen kontinu- 
ierlichen Erfassung der ersten ErfassungsgrSSe ausgebildet ist. 
Die vorliegende Erf indung betriff t weiterhin ein entsprechendes 
Verfahren zum Erfassen und gesicherten Speichem eines ersten 
Erfassungswertes . 

Bei einem solchen ersten Erf assungswert einer ersten Erf as - 
sungsgrdSe kann sich beispielsweise um einen ersten Verbrauchs- 
wert eines ersten Verbrauchsgutes , beispielsweise eines Ener- 
gietragers, handeln. So sind im Zusammenhang mit der Ver- 
brauchsmessung iiblicher Energietriger eine Reihe von gattungs- 
gemaSen Anordnvmgen bekannt . Diese werden in der Regel dazu 
verwendet, in Privathaushalten oder anderen Einrichtungen be- 
stimmte Energieverbrauche zu erfassen und zu speichem. Dabei 
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erfolgt die Messung des Verbrauchs, also die Erfassung der er- 
sten ErfassiingsgrSfie, kontinuierlich, d. h. im Siime der vor- 
liegenden Erfindxing permanent oder in vorgegebenen Zeitinter- 
vallen. 

Aus der US 6,088,659 iet beispielsweise eihe gattungsgemaSe 
Anordnung bekannt, bei welcher der Stromverbrauch in einem ent- 
sprechenden ZShler erfasst und gespeichert wird sowie anschlie- 
iSend iUaer eine Piinkverbindung zur Weiterverarbeitung an eine 
Datenzentrale tUaermittelt wird. Die Sicherimg dee gespeicherten 
Verbrauchswerts vor unbefugtem Zugriff erfolgt /Clblicherweise 
diarcb ein entsprechend gesichertes Gehause des Zahlers, welches 
mit entsprechenden Sensoren versehen ist, die eiii unbefugtes 
Eindringen erfassen. 

Die bekannten Anordntingen weisen jedoch den Nachteil auf , dass 
durch die eigentlich zum Auslesen der Verbrauchswerte vorgese- 
hene Schnittstelle die MSglichkeit des Zugriffs auf die Sicher- 
heitseinrichtung und damit die M6glichJceit einer Manipulation 
des Zahlers, insbesondere des gespeicherten Verbrauchswerts, 
erSffnet wird. 

Der vorliegenden Erfindung liegt daher die Aufgabe zu Grunde, 
eine Anordnung der eingangs genannten Art zur Verftlgimg zu 
stellen, welche die oben genannten Nachteile nicht oder zumin- 
dest. in geringerem MaEe aufweist iind insbesondere einen erhdh- 
ten Schutz vor unerkannter, xmbefugter Manipulation der gespei- 
cherten Erfassungswerte gewShrleistet . 

Die vorliegende Erfindung 16st diese Aufgabe ausgehend von ei- 
ner Anordnung gemas dem Oberbegriff des Anspruchs 1 durch die 
im kennzeichnenden Teil des Anspruchs 1 angegebenen Merkmale. 
Sie lost diese Aufgabe weiterhin ausgehend von einem Verfahren 
gemaS dem Oberbegriff des Anspruchs 3 6 durch die im kennzeich- 
nenden Teil des Anspruchs 36 angegebenen Merkmale. 
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Der vorliegenden Erfindung liegt die technische Lehre zu Gaom- 
de, dass tticui einen erhdhten Schutz vor unerkeumter unbefugter 
Manipulation der gespeicherten Erfassxingswerte erzielt, werm 
die Verarbeitvingseinheit zur Oberpriifung der Zugrif f sberechti- 
giong auf wenigstens eirien Teil der Sicherheitseinrichtung aus- 
gebildet ist. Die Oberprafung kaiin eich dabei auf einzelne, 
entsprechend sicherheitsrelevante Bereiche der Sicherheitsein- 
richtung beschr&tiken. Sie kann sich jedoch auch auf die Ober- 
priifung der Zugriffsberechtigimg fihx samtliche Bereiche der 
Sicherheitseinrichtung erstrecken. 

Bevorzugt wird schon die Zugrif fsberechtigung auf den ersten 
Speicher iiberpriift, um den unberechtigten Zugrif f auf den ge- 
speicherten ersten Erf assungswert zu verhindern. Es versteht 
sich jedoch, dass bei bestiramten Varianten der erf indungsgema- 
ISen Anordnung der Zugriff auf den ersten Speicher auch ohne 
besondere Zugrif fsberechtigung zugelassen sein kann, wenn der 
erste Erf assungswert in einer Weise gespeichert ist, dass nicht 
autorisierte Manipulationen an den gespeicherten Erf assungswert 
erkennbar sind. So kann der Erf assungswert beispielsweise zu- 
satnmen mit einer unter Verwendung des Erfassungswerts erzeugten 
Authentif izierungsinformation, wie beispielsweise einem so ge- 
nannten MAC (Message Authentif ication Code) , einer digitalen 
Signatur oder dergleichen gespeichert werden, die in einem Be- 
reich der Sicherheitseinrichtung erzeugt wird, ftir den die Zu- 
grif fsberechtigung, Bofera der Zugriff Clberhaupt mSglich ist, 
Qberpriift wird. 

Durch die erf indxmgsgemaSen Mafinahmen wird in vorteilhaf ter 
Weise erreicht, dass eine unbefugte Mauiipulation des gespei- 
cherten ersten Erfassungswerts zum einen entweder mangels Zu- 
griff auf den gespeicherten Erf assungswert liberhaupt nicht raog- 
lich ist Oder bei einer tJberprCifung zumindest nicht unerkannt 
bleibt . 
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Bei der Schnittetelleneinrichtiuig kann es sich urn eine beliebi- 
ge Schnittstelle handeln, -Ciber die eine Konraiunikation mit der 
Verarbeitimgseinheit \and damit ein Zugriff auf die Daten der 
Sicherheitseinrichtung mdglich ist. Es versteht sich, dass bei 
gewisserx Varianten der erf indungsgemaSen Anordming auch mehrere 
derartige Schnittstelleneinrichtungen vorgesehen sein kSnnen. 
Sofem uber diese die Koramunikation mit sicherheitsrelevanten 
Bereichen der Sicherheitseinrichtung .moglich ist, erfolgt darni 
gegebenenfalls f\ir jede dieser Schnittstelleneinrichtiingen eine 
erfindungsgemaJSe "Uberprufung der Zugriff sberechtigung. 

Die tiberprttfxing der Zugriff sberechtigimg kaim grundsatzlich in 
beliebiger geeigneter Weise erfolgen. So ist es beispielsweise 
maglich, ein Passwortsystera oder dergleichen zu implement ieren. 
Bevorzugt ist vorgesehen, dass die Verarbeitirngseinheit z\ir 
Oberparafiang der Zugriff sberechtigiing unter Einsatz kryptogra- 
phischer Mittel ausgebildet ist. Hierbei kSnnen beispielsweise 
digitale Signaturen und kryptographische Zertifikate zur Anwen- 
diing kommen. Dies ist von besonderem Vorteil, da derartige 
kryptographische Verfahren einen besonders hohen Sicherheits- 
standard gew&hrleisten. 

Bei besonders vorteilhaf ten Varianten der erf indungsgeraaSen 
Anordniing sind wenigstens zwei unterschiedliche Zugrif f sberech- 
tigungsstuf en vorgesehen, die mit unterschiedlichen Zugriffs- 
rechten auf die Sicherheitseinrichtung verkniipft sind. So lasst 
sich in einfacher Weise zum einen eine hierarchische Strtiktur 
mit unterschiedlich- weit gehenden Zugrif fsrechten iraplementie- 
ren. So kann beispielsweise dem Benutzer der Anordnxing auf der 
untersten Zugrif fsberechtigungsstufe als einzige Zugrif fshand- 
lung erlaubt sein, den gespeicherten Erf assungswert aus dem 
ersten Speicher auszulesen, wShrend einem Administrator auf 
einer hdheren Zugrif fsberechtigrangsstufe neben dem Auslesen des 
ErfasBungswerts aus dem ersten Speicher die Modif ikation v/eite- 
rer Koraponenten der Sicherheitseinrichtung etc. mSglich ist. 
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Zum anderen lasst sich uber die Zugrif f sberechtigungsstuf en auf 
derselben Hierarchieebene aber auch der Zugriff auf \inter- 
schiedliche Bereiche der Sicherheitseimrichtung steuem. Die 
Anzahl der Zugrif fsberechtigrangsstufen oder Klassen richtet 
sich dabei nach der jeweiligen Verwendung der Anordnung und der 
Komplexitat der mit der erf indungsgemaSen Anordnung realisier- 
baren Anwendimgen . 

Bel bevorzugten Ausgestaltungen der erf indungsgemaSen Anordntuag 
ist die Verarbeitungseinheit zum Speichem des ersten Erfas- 
sungswerts im ersten Speicher verkniipf t mit einer fiir den Er- 
f assungszeitpunkt des ersten Erf assungswerts charakteristischen 
Erfassvmgszeitkenniang ausgebildet. Durch diese haufig auch als 
Zeitstempel bezeichnete- Verkniipf ung des gespeicherten ersten 
Erfassungswerts mit dem Zeitpvihkt seiner Erfassung wird die 
Weiterverarbeitung des Erfassungswerts, beispielsweise zu Zwek- 
ken der Abrechnvmg aber auch zu Zwecken der Statistiker etc. 
deutlich erleichtert .. Dies gilt insbesondere dann, wenn mehre- 
re, zu unterschiedlichen Zeiten erfasste erste Erfassvingswerte 
verarbeitet werden eollen. 

Bs versteht sich jedoch, dass es bei anderen Variamten der Er- 
findung ohne derartige Zeitstempel auch ausreichen kann, wenn 
lediglich durch geeignete MaSnahmen sichergestellt ist, dass 
die Chronologie der Erfassxmg der ersten Erf assungswerte nach- 
vollziehbar ist. So k6nnen dem ersten Erf assungswerten bei- 
spielsweise fortlaufende Nummem zugeordnet werden, urn dieses 
Ziel zu erreichen. 

Die Ermittlung der Erf assungszeit kann auf beliebige geeignete 
Weise erfolgen. Bevorzugt umfasst die Sicherheitseinrichtung 
• zur Ermittliang der Erf assungszeitkennung ein mit der Verarbei- 
tTingseinheit verbundenes Zeiterf assungsmodul . Hierbei kann es 
sich um eine mit der Verarbeitiangseinheit verbundene integrier- 
te Echtzeituhr handeln Oder ein Modul, das iSber eine geeignete 
Koinmunikationsverbind\ing zu einer entsprechenden Instanz die 
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Echtzeit abfragt. Die integrierte Echtzeituhr kann dabei gege- 
benenfalls von Zeit zu Zeit rait einer entsprechend genauen 
Zeitc[uelle synchronisiert warden. 

Bei bevorzugten Varianten der erf indungsgemaSen Anordnxmg is.t 
vorgesehen, dass die Verarbeitungseinheit zura Absicheim des 
gespeicherten ersten Erf assungswerts vmd zus§.tzlich Oder alter- 
nativ der Erf assungszeitkennung durch kryptographische Mittel 
ausgebildet ist. Hierdurch kann sichergestellt werden, dass 
lanberechtigte Manipulationen an den so abgesicherten Daten bei 
einer spateren <5berpreif\ing festgestellt werden konnen. Filr die 
Absicherung konnen wiederum beliebige bekannte kryptographische 
Verfahren zur Anwendung kommen. Besonders geeignet ist auch 
hier wieder die Anwendung digitaler Signaturen, die vmter Ver- 
wendung der abzusichernden Daten erzeugt werden. 

Bei besonders vorteilhaf ten Ausgestaltimgen der erf indungsgema- 
Sen Anordnung ist die Sicherheitseinrichtung zum Speichem ei- 
ner Anzahl von ersten Brfassungswerten der , ersten Erfassiings- 
grSfie ausgebildet. Hiermit lassen sich, insbesondere wenn diese 
ersten Erf assungswerte mit einem entsprechenden Zeitsterapel/ 
also einer Erfassvmgszeitkennung versehen sind, eine Reihe von 
OberpriifTingen und statistischen Auswerttangen bei der Weiterver- 
arbeitung der gemessenen Erf assungswerte vomehmen. Insbesonde- 
re lasst sich hiermit auch anhand in der Vergangenheit ermit- 
telter statistischer Daten eine Plans ibilitatsprdfung fflr die 
Erfassung einzelner oder mehrerer Erf assungswerte durchf iShren . 
Diese PlausibilitatsprCifung kann sowohl zur Funktionsflberwa- 
chung der Erfass\ingseinheit , beispielsweise einer Messeinrich- 
tung, als auch zur Erfassung von Betrugsversuchen- oder derglei- 
chen herangezogen werden. 

Insbesondere kann durch geeignete MaSnahmen sichergestellt 
sein, dass die Kontinuitat der Erf assungswerte nachprafbar ist, 
d. h. erkennbar ist, ob eine l<lckenlose Reihe der Erf assungs- 
werte vorliegt oder einzelne Erf assungswerte - sei es infolge 
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einer Fehlfimktion oder eines Betrugsversuchs - fehlen. Dies 
kann in einfacher Weise z. B. dadurch realisiert sein, dass den 
Erfass\ingswerten fortlaufende Nummern zugeordnet werden, die 
dann bevorzugt ebenfalls wieder entsprechender Weise durch 
kryptographische Mittel abgesichert sind. Sofem die Erfassung 
der Erfassiangswerte in vorgegebenen Zeitintervallen erfolgt, 
kann hierzu aber auch beispielsweise der Zeitsteinpel ausrei- 
chen. 

Bei besonders giinstigen Varianten der erf indungsgemaSen Anord- 
n\ang ist wenigstens eine zweite Erf assungseinrichtiing zur Er- 
fassung wenigstens eines zweiten Erf assungswerts der ersten 
ErfassiingsgrdSe vorgesehen. Die Sicherheitseinricht\ang ist dann 
zum Speichem des zweiten Erf assungswerts in dem ersten Spei- 
cher ausgebildet, wobei die oben beschriebenen Sicherungsmafi- 
nahmen ergriffen werden konnen, sodass in Bezug auf das vor 
unbefugtem Zugriff gesicherte Speichem lediglich auf die obi- 
gen Ausftkhrungen verwiesen werden soil . Mit diesen Varianten 
ist es maglich., auch gr6fiere Systeme mit raehreren Erf assiingsor- 
ten der Erf assungsgrfiSe , beispielsweise mehreren Messstellen 
far den Verbrauch eines Verbrauchsgutes , mit einer reduzierten 
Anzahl von Sicherheitseinrichtungen, gegebenenfalls sogar mit 
einer einzigen Sicherheitseinrichtxmg zu betreiben. So kanin 
beispielsweise der Energieverbrauch in einem grSEeren Haus rait 
mehreren Parteien-, d. h. getrennt zu erfassenden Verbrauchsein- 
heiten, durch eine entsprechende Anzahl dezentraler Erfassungs- 
einrichtungen erfasst werden, die alle rait einer einzigen Si- 
cherheitseinrichtung verbundeii sind. 

Urn die Trennung der ersten umd zweiten Erf assungswerte sicher- 
zustellen^ kann vorgesehen sein, dass die ersten \ind zweiten 
Erfassiingswerte in unterschiedlichen Speicherbereichen des er- 
sten Speichers abgelegt werden. Hierbei k6nnen insbesondere 
unterschiedliche Zugriff sberechtigungen fiir die unterschiedli- 
chen Speicherbereiche definiert sein, urn sicherzustellen, dass 
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nur die jeweils autorisierten Personen bzw. Einrichtungen auf 
den entsprechenden Speicherberelch zugrelfen kdmien. 

Besondera vorteilhaft ist es jedoch, wenn die Verarbeitungsein-' 
heit zum Speichern des ersten Erfassimgswerts verkn^ipft mik 
einer fiir die erste Erfassiangseinrichtxmg charakteristiscBhen 
erstezi Erfassxangseinrichtuzigskeziauzig iind zum Speichern des 
zweiten Erf assungswerts verkntipft tnit einer fur die zweite Er- 
fassungseiixrichtung charakteristischen zweiten Erfassxmgsein- 
richtiingskennung ausgebildet ist. Mit dieser eindeutigen Zuord- 
niong zwischen der Erf assungseinrichtvmg und dem durch sie er- 
fassten Erf assungswerts ist eine besonders einfache mid zuver- 
lassige Trennung mSglich, welche die spStere Weiterverarbeitung 
erheblich erleichtert. 

Urn hier einen unbefugten Zugriff auf die entsprechenden Erfas- 
s\angswerte durch Personen oder Einrichtungen, die grundsatzlich 
zu Zugriff auf den ersten Speicher autorisiert sind, zu vermei- 
den, kann fClr die ersten und- zweiten Erf assiongswerte vorgesehen 
sein, dass sie auf unterschiedlidhe Weise verschKisselt gespei- 
chert sind. Die EntschltLsselung kaxm dann jeweils nur durch die 
entsprechend autorisierte Person bzw. Einrichtung, welche bei- 
spielsweise den entsprechenden Entschlusselvingsschl'Qssel be- 
sitzt . 

Es versteht sich, dass auch hier wiedezTam eine kryptographische 
Absicherung der gespeicherten Daten, wie sie bereits oben be- 
schrieben wurde, vorgesehen sein kann, um die unerkanrite Mani- 
pulation dieser Daten wirksam zu verhindern. 

Bei weiteren gunstigen Ausgestaltungen der erf indiongsgemS-Sen 
Anordnung ist vorgesehen, dass die erste Erf assungseinrichtung 
zur Erfassung wenigstens eines dritten Erf assungswerts einer 
zweiten Erf assungsgroiSe ausgebildet ist. Alternativ kann eine 
dritte Erf assungseinrichtung z\xr Erfassung wenigstens eines 
dritten Erfassungswerts einer zweiten Erf assungsgroiSe vorgese- 
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hen'sein. In beiden Fallen let die Sicherheitseinriclitung z\m 
vor unbefugtem Zugriff gesicherten Speichem des dritten Erf as - 
siingswerts in dem ersten Speicher ausgebildet, wobei auch bier 
wieder bevorzugt die oben beschriebenen SicherungsToa&iahmen 
ergriffen warden. 

Hierdurcb ist es rndglich, mit einer einzigen Sicherheitsein- 
richtung die Erfassung \md gesicherte Speicherung der Erf as - 
Bungswerte fiir unterschiedliche Erf assungsgroiSen, beispielswei- 
se unterschiedliche Verbrauchsg<iter, zu realisieren. So kann 
f-iir eine Verbrauchseinheit wie eine Wohnung oder dergleichen 
beispielsweise durch vmterschiedliche Erf assxmgseinrichtungen 
der Verbrauch unterschiedlicher Energietr^ger wie Strom, Gas, 
Wasser erfasst und durch eine einzige Sicherheitseinricht\ang 
gesichert gespeichert vmd zur weiteren autorisierten Verarbei- 
tung zur Verfiigxing gestellt warden. 

Utti die Trenniing der ersten und dritten Erf assungswerte sicher- 
zustellen, kann auch hier wieder vorgesehen sein, dass die er- 
sten und dritten Erfassungswerte in unterschiedlichen Speicher- 
bereichen des ersten Speichers abgelegt werden. Besonders vor- 
teilhaft ist es jedoch auch hier, wenn die Verarbeitungseinheit 
•zura Speichern ersten Erfassimgswerts verknupf t mit einer fdir 
die erste Erf assungsgrSSe charakteristischen ersten Erfassungs- 
gr6Senkennung und zum Speichem des dritten Erfassungswerts 
verkn'ilpft mit einer filr die zweite ErfassxangsgrSSe charakteri- 
stischen zweiten Erf ass\ingsgr6fienkennung ausgebildet ist. Mit 
dieser eindeutigen Zuordnung zwischen der Erfassungseinrichttuig 
und der durch sie erf assten Erf assungsgrofie ist eine besonder-s 
einfache und zuveriassige Trenntmg moglich, welche die spStere 
Weiterverarbeitung der gespeicherten Daten erheblich erleich- 
tert.. Auch hier konnen natiirlich wieder die oben dargelegten 
Mafinahmen zur Vermeidung unbefugten Zugriffs auf die ersten xmd 
dritten Erfass\angswerte vorgenoiranen werden. 
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Es versteht sich im iSbrigen, dass auch hier wiederum eine kryp- 
tographische Absicherung der gespeicherten Daten, wie sie be- 
reits oben beschrieben wurde, vorgeseben sein kann, um die un- 
erkannte Manipulation diese Daten wirksara zu verhindem. 

Bei besonders bevorzugten Varianten der erf indtangsgexnaSen An- 
ordnung weist die Verarbeitungseiiiheit wenigstene einen ersten 
Betriebsmodus . und einen zweiten Betriebsmodus auf . Weiterhin 
ist sie zum Umschalten zwischen dem ersten und zweiten Be- 
triebsmodus ausgebildet, wobei dieses Umschalten veranlasst 
durch einen Umschaltbefehl erfolgt. Bevorzugt ist die Verarbei- 
tungseinheit dabel zur Oberprfifung eines Umschaltkriteriums und 
zur Brzeugung des Umschaltbef ehls in Abhangigkeit vom Ergebnis 
der tiberprufung des Umschaltkriteriums ausgebildet . Das Um- . 
schaltkriterium ist dabei in einem mit der Verarbeitungseinheit 
verbundenen zweiten Speicher gespeichert. 

Hiermit lass,en sich in einfacher Weiee Anwendungsszenarien rea- 
lisieren, bei denen die Anordnung in Abhangigkeit vom Eintreten 
vorgegebener oder vorgebbarer Bedingungen unterachiedliche 
Funktionen ausfilhrt. So kann beispielsweise bei Eintreten ent- 
sprechender vorgegebener oder vorgebbarer Bedingungen eine Be- 
nachrichtigungsroutine initiiert werden, mit welcher entspre- 
chende Personen oder Binrichttangen vom Eintreten der Bedingung 
in Kenntnis gesetzt werden. So kann bei der Verbrauchserfassung 
der Verbraucher des Verbrauchsgutes , der Anbieter des Ver- 
brauchsgutes oder ein Dritter vom Eintreten der Bedingiang in 
Kenntnis gesetzt werden. Dies kann ilber beliebige Benachrichti- 
gungsmittel , wie optische oder akustische Anzeigen, E-Mail, 
Fax, SMS etc. erfolgen. So kann der Verbraucher beispielsweise 
xiber einen ungew6hnlich hohen oder vom ublichen Verbrauchspro- 
f il abweichenden Verbrauch oder das Oberschreiten eines von ihm 
selbst gesetzten Verbrauchlimits informiert werden. 

Bei weiteren bevorzugten Varianten der erf indungsgem^fien Anord- 
nung ist vorgesehen, dass eine mit der Verarbeitungseinheit 
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verbvmdene, wenigstens in dem zweiten Betriebsmodus von der 
Verarbeitungseinheit angesteuerte Beeinf luss\ingseinricht\ing zur 
Beeinf lussung der ersten ErfassungsgraSe vorgesehen ist. So 
kann bei einer Verbrauchserf assung eine Verbrauchebeeinf lus- 
sungseinrichtung zur Beeinf lussung des Verbrauchs des ersten 
Verbrauchsgutes vorgesehen sein. Durch diese Verbrauchsbeein- 
f luBsungseinrichtTong kann beispielsweise beira Eintreten be- 
stimmter Bedingtmgen, beispielsweise dera Unterschreiten eines 
bestimmten Guthabens, dem t)berschreiten eines bestimmten Kre- 
ditralitnens Oder dem Oberschreiten eines bestimmten Verbrauclxs- 
werts, ein Sperren des Verbrauchs erfolgen. Gegebenenfalls kann 
rechtzeitig vor Eintreten dieser Bedingung eine der oben be- 
schriebenen Benachrichtigungsroutinen eingeleitet werden, um 
den Verbraucher beispielsweise -iiber die drohende Sperrung zu 
inf ormieren . 

Bei anderen Varianten, bei denen die Erfassxxng eines Betrieb- 
sparameters einer Einrichtiang als Erfassungsgrofie erfolgt, kann 
eine Beeinf lussiing des Betriebspararaeters vorgesehen sein. So 
kann beispielsweise beim Eintreten bestimmter Bedingxingen, bei- 
spielsweise dem Unter- oder Uberschreiten eines bestimmten 
Grenzwertes filr den Betriebsparameter, ein entsprechendes Ge- 
gensteuem erfolgen bzw. eingeleitet werden, welches den Be- 
triebsparameter wieder in einen vorgegebenen Bereich bringen 
soil. Gegebenenfalls kann rechtzeitig vor Eintreten der genann- 
ten Beding\ing eine der oben beschriebenen Benachrichtigungsrou- 
tinen eingeleitet werden, um entsprechende Personen oder Ein- 
richtungen tiber das drohende Eintreten der Bedingung zu infor- 
mieren. 

Vorzugsweise ist das Umschaltkriterium durch Zugriff <iber die 
erste Schnittstelleneinrichtung auf den zweiten Speicher vor- 
gebbar und zusatzlich oder altemativ verinderbar, urn das Um- 
schaltkriterium in vorteilhaf ter Weise beeinf lussen zu kdnnen ■ 
bzw. auf geanderte Umstande reagieren zu kSnnen, 
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Bei besondere vorteilhaften Varianten der erf indungsgem&fien 
Anordnung \imfasst die SicherheitseinrichtTing ein mit der Verar- 
beitungselxiheit verbiindenes Quittungsraodul mit elnem drltten 
Speicher. Weiterhin ist die Verarbeifungseinheit ziir Erstellxuig 
einer Quittxing fiir einen Zugriff auf die Sicherheitseinrich- 
tung, inebeeondere fHoc einen Zugriff auf den ersten Speioher, 
vmd zum Speichem der ersten Quittiing in dem dritten Speicher 
ausgebildet. Hierdurch ist es in vorteilhaf ter Weise m6glich, 
den Zugriff auf die Sicherheitseinrichtung zu dokumentieren imd 
gegebenenf alls zu einem spateren Zeitpunkt auszuwerten. 

Es versteht sich., dass auch hier wieder ein vor unbefugtem Zu- 
griff gesichertes Speichem der Quittung sowie die Absiche3rung 
der Quittung durch kryptographische Mittel vorgesehen sein 
kann, wie sie bereits oben ausf-iihrlich beschrieben wurden, so- 
dass an dieser Stelle nur auf die obigen Ausfiihrungen verwiesen 
werden soil. 

Vorzugsweise ist vorgesehen, dass die Verarbeitungseinheit zum 
Speichem der Quitttmg im zweiten Speicher verkn^ipft mit einer 
fflr den Zugreifer charakteristischen Zugreif erkennung ausgebil- 
det ieit. Bevorzugt handelt es sich bei dieser Zugreif erkeimung 
urn eine zweite digitale Signatur des Zugreif ers, die bevorzugt 
unter Verwendung der Qui ttimgs information erzeugt wird. Hiermit 
ist es in einfacher Weise radglich, die im Rahmen solcher Zu- 
griff e vorgenommenen Modif ikationen der Anordniing/ insbesondere 
der Sicherheitseinrichtung einzelnen Zugreif em zuzuordnen. 
Dies ist insbesondere unter HaftxjngsgesichtspTxnkten von beson- 
derem Vorteil. 

Weiter vorzugsweise wird die Quittung mit einem Zeitstempel 
versehen. Hierzu ist die Verarbeitungseinheit bevorzugt zum 
Speichem der Quittung im zweiten Speicher verkntipft mit einer 
ftir den Zugriff zeitpunkt charakteristischen Zugrif f szeitkennung 
ausgebildet. Es versteht sich, dass auch hier wieder dieselben 
MaSnahmen, insbesondere dieselben SicherungsmaSnahmen ergriffen 
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werden kSnnen, wie. sie bereits oben im Zusatranenhang mit der 
Erfassungszeitkennung beschrieben vmrden. 

Insbesondere umfasst die Sicherheitseinrichtiang zur Ermittlung 
der Zugriffazeitkermxing bevorzugt ein tnit der Verarbeitimgsein- 
heit verbundenes Zeiterfassungsmodul . Weiter vorzngsweise ist 
die Verarbeitungseinheit zura Absichem der gespeicherten Quit- 
tung und zus&tzlich oder altemativ der Zugreiferkennxing sowie 
zusatzlich Oder altemativ der Zugrif f szeitkennimg durch kryp- 
tographische Mittel ausgebildet. Hier kann insbesondere wieder- 
um sine Absicheznng durch eine dritte digitale Signatur erfol- 
gen, die bevorzugt unter Verwendung der abzusichernden Daten 
erzeugt wird. 

Bei besonders gxinstigen Weiterbildungen der erf indungsgeniaSen 
Anordnung weist die Sicherheitseinriohtung zur Auswahl eines 
Anbieters eines era ten Verbrauohsgutes ein tnit der Verarbei- 
tungseinheit verbundenes Auswahlmodul auf . Der Verbrauch des 
ersten Verbrauohsgutes stellt hifer die erste Erf assungsgrSSe 
dar. Weiterhin ist die Verarbeitxingseinheit zum Speichem des 
ersten Verbrauchswerts als erstem Erfassungswert im ersten 
Speicher verknUpft mit einer f<lr den ausgewShlten Anbieter des 
ersten Verbrauohsgutes charakteristischen Anbieterkennung aus- 
gebildet. Hierdurch ist es in einfacher Weise m6glich, nach 
bestimmten Kriterien einen bestimmten Anbieter auszuwShlen und 
diesem Anbieter die ermittelten Verbrauchswerte zuzuordnen, ura 
sie beispielsweise spater gegentiber diesem Anbieter abzureoh- 
nen. 

So kann beispielsweise vorgesehen sein, dass ein Verbraucher 
iiber eine bestimmte Schnittstelle der SicherheitseinrichtTing 
nach Belieben einen Anbieter des Verbrauchsgutes , beispielswei- 
se einen bestimmten Stromlief eranten, auswM.hlt, dem die nach 
der Auswahl erfassten Verbrauchswerte in der beschriebenen Wei- 
se zugeordnet werden. Hierbei ist es natttrlich moglich, be- • 
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stinmite Vorgaben oder Grenzen hinsichtlich der Hauf igkeit der 
Anbieterwechsel etc. zu setzen. 

Auch hier ist bevorzugt wieder vorgesehen, dass die Verarbei- 
timgseinheit zum Absichern der Anbieterkeimung dxirch kryptogra- 
phische Mittel ausgebildet ist, wie dies bereits oben aniiand 
anderer Keimungen ausftkhrlich beschrieben wurde.. Hierbei kemn 
die Absicherung insbesondere wieder durch eine vierte digitale 
Sighatur erfolgen. 

Bei besonders vorteilhaf ten Varianten der erf indungsgemafien 
Anordnung ist vorgesehen, dass die Verarbeitungseinheit zur 
tiberprufung eines Auswahlkriteriums und zur Auswahl des Anbie- 
ters in AbhS.ngigkeit vom Ergebnis der tJberpriifung des Auswahl- 
kriteriums ausgebildet ist, wobei das Auswahlkriterium in einem 
mit der Verarbeitungseinheit verbundenen vierten Speicher ge- 
speichert ist. Hiermit ist es z. B. in einfacher Weise mSglich, 
die Verbrauchskosten zu minimieren, indem durch Vergleich der 
Gebtahrentabellen iinterschiedlicher Anbieter derjenige ausge- 
wShlt wird, der das Verbrauchsgut zvun aktuellen Zeitpunkt zum 
gtlnstigsten Preis anbietet. Diese Abfrage kann in vorgegebenen 
Intervallen erfolgen. Zudem kaiin eine regelmasig von der Verar- 
beitungseinheit initiierte Aktualisiervmg der GebfUirentabellen 
ebenso vorgesehen sein wie regelxnasige Updates seitens der An- 
bieter, die iiber eine entsprechende Koiniuunikationsverbindung 
zur Verarbeitungseinheit gelsmgen. 

Wie bereits erwShnt, kann eine beliebige Auswahl durch den Ver- 
braucher vorgesehen sein. Hierzu ist bevorzugt eine mit der 
Verarbeitungseinheit verbundene Auswahleingabeeinrichtung vor- 
gesehen, wobei das Auswahlkriterium durch einen Benutzer liber 
die Auswahleingabeeinrichtung durch Zugriff auf den vierten 
Speicher vorgebbar und zusatzlich oder altemativ veranderbar 
ist. 
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Um diese Auswahl auch zu einem spSteren Zeitpunkt noch nach- 
voll Ziehen zu kSnnen, ist bei bevorzugten Varianten der erfin- 
diangsgemaSen Anordnting vorgesehen, dass die Verarbeitungsein- 
heit zura Speichern des era ten Verbrauchswerts im ersten Spei- 
cher verknftpft rait einer fClr den auswahl enden Benutzer charak- 
teristischen Benutzerkennung ausgebildet ist . Auch hier honnen 
wieder die oben beschriebenen Absicherungsmechanismen verwendet . 
werden. Bevorzugt ist daher die Verarbeitungseinheit zum Absi- 
chem der Benutzerkeimting durch kryptographische Mittel, . insbe- 
sondere durch eine fiinfte digitale Signatur, ausgebildet. 

Bei bevorzugten Ausfilhrungen der erf indungsgemaiSen Anordnung 
umfasst die Sicherheitseinrichtung ein mit der Verarbeitungs- 
einheit verbiindenes Kryptographiemodul , welches dazu ausgebil- 
det ist, der Verarbeitungseinheit unter Verwendung wenigstens 
erster Kryptographiedaten kryptographische Mittel fur wenig- 
stens eine Sicherheitsanwendung zur Verf-tigung zu stellen, wobei 
die ersten Kryptographiedaten in einem fiinften Speicher des 
Kryptographiemoduls gespeichert sind und wenigstens einen er- 
sten kryptographischen Algorithmus umfassen. Hierdurch ist in 
einfacher Weise eine entsprechend zuverlassige Absicherxing so- 
wohl zu speichemder Daten als auch zu flibertragender Daten mfig- 
lich. Uhter Nutzung des Kryptographiemoduls kdnnen dann die ffir " 
die unterschiedlichen Module (Zeiterfassungsmodul, Quittungsmo- 
dul etc) und Funktionen der Sicherheitseinrichtung beschriebe- 
nen kryptographischen Mittel zur Verfiigung gestellt werden. 

So kann das Kryptographiemodul zum einen zur VerschlCLsselung zU 
speichemder Daten verwendet werden als auch zur Verschlilsse-' 
lung zu sendender Daten. Beispielsweise konnen die Daten, die 
<iber die erste Schnittstelle ausgelesen bzw. tibertragen werden 
durch ein entsprechendes kryptographisches Verfahren rait einem 
entsprechenden kryptographischen Algorithmus verschliisselt wer- 
den. Es versteht sich, dass je nach Anwendung, also beispiels- 
weise je nachdem, ob Daten versandt oder gespeichert werden 
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solleii/ auch imterschiedliche kryptographische Verfahren ange- 
wendet werden kSimen. 

Neben dem kryptographischen Algorithmus und einem Oder mehreren 
entsprechenden kryptographischen Schltisseln umfassen die Kryp- 
tographiedaten bevorzugt weitere Daten, wie be4-spielsweise ein 
Oder mehrere kryptographische Zertifikate entsprechender Zerti- 
f izierungsinstanzen sowie gegebenenf alls ein oder mehrere eige- 
ne kryptographische Zertifikate der Sicherheitseinrichttmg. 

Bei" bevorzugten Varianten der erf indungsgemaSen Anordnimg ist 
die Sicherheitseinrichtung zum Austausch wenigstens eines Teils 
der ersten Kryptographiedaten ausgebildet, um in vorteilhaf ter 
Weise eine einfache und dauerhaft zuyerlassige Sicherung der 
Daten zu gewahrleisten. Hierbei kemn insbesondere vorgesehen 
sein, dass neben- den kryptographischen Schiasseln xind krypto- 
graphischen Zertifikaten auch der jeweils verwendete kryptogra- 
phische Algorithmus ausgetauscht werden kann, um das System in 
einfacher Weise an geSnderte Sicherheitsanforderxingen anpassen 
zu kdnnen. 

Die Intplementierung und der Austausch der Kryptographiedaten 
erfolgt vinter Nutzung der ersten Schnittstelleneinrichtung oder 
einer weiteren Schnittstelleneinrichtung bevorzugt im Rahmen 
einer so genannten Public Key Infrastructure (PKI) , wie sie 
hinlanglich bekannt . ist ^m.d "daher an dieser Stelle nicht weiter 
beschrieben werden soil. Es versteht sich insbesondere, dass 
eine entsprechende Routine zur ttberprufung der Validitat der 
verwendeten kryptographischen Zertifikate vorgesehen ist. Ge-' 
eignete derartige iJberprtifungsroutinen sind ebenfalls hinlang- 
lich bekannt xind sollen daher hier nicht nSher beschrieben wer- 
den 

Bei bevorzugten Varianten der erf indxingsgemaSen Anordnung sind 
die erste Erf assungseinrichtung und die Sicherheitseinrichtung 
in einer vor unbefugtem Zugriff geschtitzten sicheren Uragebxing 
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angeordnet, urn in vorteilhaf ter Weise den unbefugten Zugriff 
nicht nur auf die Daten der Sicherheitseinrichtiing sondem auch 
auf die Daten, die von iind zu der ersten. Erf assungseinrichtung 
geliefert warden, wirksam zu unterbinden. 

Die sichere Umgebimg kann dabei physisch diirch ein oder mehrere 
entsprechend gesicherte Gehause hergestellt werden. Diese Ge- 
hcLuse sind dann bevorzugt rait entsprechenden, hinlSnglich be- 
kannten Mitteln ztir Erfassiing von Manipulationen am Gehause 
auiggestattet .- Bevorzugt erfolgt die Sicherung jedoch auch lo- 
gisch durch ein entsprechend abgesichertes Kommunikationsproto- 
koll zwischen der ersten Erf assungseinrichtung und der Sicher- 
heitseinrichtung. So kann. beispielsweise vdrgesehen sein, dass 
bei jeder Kommunikation zwischen der ersten Erf assungseinrich- 
tung und der Sicherheitseinrichtung tiber eine entsprechend 
Starke gegenseitige Authentif izieirung ein gesicherter Kommuni- 
kationskanal aufgebaut wird. Es versteht sich, dass die erste 
Erfassimgseinrichtung in diesem Fall fiber entsprechende Komrau- 
nikationsmittel verf-iigt, welche die beschrieb'ene Sicherheits- 
fxinktionalitat zur Verffigung s tell en. • 

Es versteht sich weiterhin, dass die sichere Utngebung durch 
seiche logischen Sicherungsmechanismen aUf einen beliebig gro- 
ISen Ratim erstreckt werden kann. So kSnnen die erste Erf assungs- 
einrichtung und die Sicherheitseinrichtung bei solchen Ausfiih- 
mngen innerhalb der sicheren Umgebung weit voneinander ent- 
fernt angeordnet sein. Es versteht sich weiterhin, dass die 
sichere Otngebung durch solche logischen Sicherungsmechanismen 
auch auf andere Kotnponenten, beispielsweise ein Datenzentrum ' O 
Oder dergleichen, ausgeweitet werden kann, von dem die Daten 
des ersten Speichers zur Weit'brverarbeit^lng ausgelesen werden. 

. Bevorzugt ist daher die erste Erf assungseinrichtung in einem 
ersten sicheren Gehause -und die Sicherheitseinrichtiing in einem 
zweiten sicheren Gehause angeordnet, wobei die Verbindung zwi- 
schen der ersten Erfassungseinrichtung und der Sicherheitsein- 
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richtimg dann zur Herstellimg der sicheren Umgebung als durch 
kryptographische Mittel abgesicherte Verbindung ausgebildet 
ist. 

Es vers-teht slch, dass s&mtliche der oben beschriebenen Module 
und Punktionen der Sicherheitseinrichtiang d\irch entsprechend 
gestaltete Hardwaremodule realisiert sein kdnnen. Bevorzugt 
sizid sie jedoch zumindest zum Tell als Softwaremodule gestal- 
tet, auf welche die Verarbeitungseinheit zugreift, urn die ent- 
sprechende Fimktion zu realisieren. Weiterhin versteht es sich> 
dass die einzelnen Speicher nicht durch getreimte Speichermodu- 
le realisiert sein mussen. Vielmehr hand€^r£^^'^ sich bevorzugt 
um entsprechend logisch getrennte Speicherbereiche eines einzi- 
gen Speichers, beispielsweise eines einzigen Speichermoduls . 

Die vprliegende Erfiiidung betrif ft weiterhin ein System mit 
einer erf indungsgemSSen Anordnung, deren die Sicherheitsein- 
richtung wenigstens eine mit der Verarbeitxingseinheit verbunde- ' 
ne erste Schnittstelleneinrichtung zum Zugreifen auf die Si- 
cherheitseinrichtxing aufweist, die als erste Kommunikationsein- 
richtung ausgebildet ist. Weiterhin ist eine von der Sicher- 
heitseinrichtxing entfernte Datenzentrale mit einer zweiten Kom- 
munikationseinrichtung vorgesehen. Die erste. Koraraixnikationsein- 
richtung und die zweite Koramunikationseinrichtung sind dabei 
zum Herstellen einer ersten Kommunikationsverbindung zwischen 
der SicherheitseinrichtTing \ind der Datenzentrale ausgebildet. 

Hierdurch ist es moglich, aus der entfemten Datenzentrale auf 
die Anordnung, insbesondere deren Sicherheitseinrichtung, zuzu- 
greifen und beispielsweise die gespeicherten Erf assungswerte 
. auszulesen und weiter zu verarbeiten. Bevorzugt ist die Daten- 
zentrale daher zum Auslesen der Speicherinhalte des ersten 
Speichers -Ciber die erste Kommunikationsverbindung ausgebildet . 
Ebenso ist es bei entsprechender Zugrif f sberechtigung natiirlich 
mdglich, uber die Datenzentrale das Verhalten der Anordnung zu 
beeinflussen, wie es oben bereits beschrieben wurde. 
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Die Datenzentrale spelchert die ausgelesenen Erf assungsdaten 
und halt sie so f<lr die weitere Verarbeitimg bereit. Hierbei 
versteht es sich, dass die Erf assungsdaten gegebenenfalls in 
entsprechend anonymisierter Weise bereitgehalten werden, um die 
Anforderungen an den Datenschutz zu erffillen. 

\ 

Die weitere Verarbeitimg kann in einer weiteren entfemten Da- 
tenzentrale, beispielsweise des Anbieters des entsprechenden 
Verbrauchsgutes erfolgen, an welche die Erf assiingsdaten dann 
weitergegeben werden. Bevorzugt verarbeitet die Datenzentrale 
diese ausgelesenen Erf assTingsdaten selbst schon zumindest zu 
einem gewissen Grad weiter. 

Insbesondere kann bei Verbrauchswerten als Erf assungswerteii 
vorgesehen sein, dass -flber die Datenzentrale die Verbrauchsab- 
rejChniing erfolgt. Vorzugsweise ist die Datenzentrale daher zur 
t ^^^^lung einer Abrechnungsinf ormation in AbhSngigkeit von den 
Speicherinhalten des ersten Speichers ausgebildet. Die Daten- 
zentrale ka nn dabei von dem Anbieter des entsprechenden Ver- 
brauchsgutes betrieben werden. Es versteht sich jedoch, dass 
die Datenzentrale auch von einem Dritten betrieben werden kann, 
der diese Dienste zur Verftigung stellt. 

Wie bereits ervShnt, kann bei entsprechender Zugrif f sberechti- 
gimg vorgesehen sein, dass Ober die Datenzentrale das Verhalten 
der Anordnung beeinflusst wird. Bevorzugt ist die. Datenzentrale 
daher zur Vorgabe und zusatziich oder altemativ zur VerSnde- 
rung des oben beschriebeneh Umschaltkriteriums ausgebildet. 

Dabei kann insbesondere vorgesehen sein, dass bei Eintreten 
bestitnmter Bedingungen die Erf assimgsgrpfie durch die Datenzen- 
trale wie oben bereits beschrieben beeinflusst wird, beispiels- 
weise der Verbrauch des Verbrauchsgutes durch die Datenzentrale 
unterbunden wird. Insbesondere kann dies bei so genannten Vor- 
auszahlungssystemen oder Prepaid-Systemen dann der Fall sein, 
wenn ein bestitnmtes Miniinalguthaben unterschritten wird. Hierzu 
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kcmn in Verbind\ang mit den oben beschriebenen Anordnungen mit 
wenigstens zwei Betriebsmodi vorgesehen sein, dass der Ver- 
brauch des ersten Verbrauchsgutee im zweiten Betriebsmodus ge- 
sperrt ist, das Urns chaltkriterium das Festatellen des Unter- 
schreitens einer im zweiten Speicher gespeicherten Guthaben- 
grenze durch das aktuelle im zweiten Speicher gespeicherbe Gut- 
haben ist. 

Hierbei ist dera Benutzer dann bevorzugt eine Moglichkeit zxir 
einfachen und schnellen Abwendiing Oder Aufhebung der Sperrting 
gegeben. Vorzugsweise weist die Datenzentrale hierzu eine drit- 
te Kommiinikationseinrichtung auf , tiber die eine zweite Kommiini- 
kationsverbindung zum Verandem des aktuellen im zweiten Spei- 
cher gespeicherten Guthabens herstellbar ist. So kann bei- 
spielsweise eine Express zahlung per Handy durch entsprechende 
Dienste oder Ahnliches vorgesehen sein. i 

Bs yersteht sich im tibrigen, dass das erf indungsgemaSe System 
auch mehrere erf indtmgsgem&Se Anordntingen sowie zus§Ltzlich oder 
altemativ auch mehrere Datenzentralen umfassen kann. Dies kann 
insbesondere dann der Fall sein, wenn Ckber eine oder mehrere 
Sicherheitseinrichtungen unterschiedliche ErfassungsgrdSen, 
insbesondere die Verbrauche unterschiedlicher VerbrauchsgUter 
von xinterschiedlichen Anbietern, erfasst werden. Diese kdnnen 
dann zur weiteren Verarbeitimg an unterschiedliche Datenzentra- 
len verteilt werden. 

Als Erf assungsgr6Sen kommen grundsStzlich beliebige in entspre- 
chender Weise erfassbare Gr6fien in Betracht. So k6nnen grund- 
satzlich beliebige Zustandsparameter oder Betriebspararaeter 
beliebiger Einrichtungen erfasst werden. Weiterhin kann das 
Eintreten bestimmter Ereignisse als Erf assungsgroSe erfasst 
werden. Ebenso kann der Verbrauch eines Verbrauchsgutes erfasst 
werden . 
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Als Verbrauchsgut kommeh gnmdsatzlich beliebige Gtiter oder 
Leistungen, insbesondere Dienstleietungen, in Frage, die sich 
durcb eine entsprechende Verbrauchsmessung erfassen lassen. Als 
Beispiele seien hier Energietrager wie Strom, Brennstof f e , Was- 
ser etc. gexiazmt. Es l^sst sich aber auch die entgeltpflichtigg 
Nutzung beliebiger Binrichtungen erfassen. Hier seien al9 Bei- 
spiele Telekotnmunikationseinrichtungen, bestimmte GerSte, wie 
beispielsweise Baumaschinen Oder Fahrzeuge, oder aber auch 
Spieleinrichtungen oder dergleichen genannt . Insbesondere kommt 
flir eine Nutzung eines GerStes, insbesondere eines Fahrzeugs, 
bei der die Abrechnung in AbhSngigkeit von einer zurtickgelegten 
Strecke oder dem Verweilen ari einer bestimmten Position oder in 
einem bestimmten raumlichen Bereich erfolgt, als der oder einer 
der zu erfassenden Verbrauchswerte auch die Position in Frage, 
die ilber ein entsprechendes Modul zur Positionserf assung,' bei- 
spielsweise ein GPS -Modul erfasst werden kann. 

Insbesondere kann ira Zusainnienhang mit der Verbrauchsmesstmg 
auch die Brbringung bestiimtiter Leistungen erfasst werden. So 
kcuui beispielsweise die Dauer der Anwesenheit eines Arbeitneh- 
mers oder eines Auftragnehmers an einer bestimmten ArbeitssteLt- 
te durch entsprechende Erfassimgseinheiten erfasst werden, urn 
den Verbrauch der Arbeitsleistxing des Arbeitnehmers bzw. Auf- 
tragnehmers durch den Ariseitgeber bzw. Auftraggeber zu erfas- 
sen. Dasselbe gilt natftrlich auch fiir die Anwesenheit von be- 
stimmten Geraten bzw. Einrichtiingen an bestimmten Einsatzorten, 
bei denen zusatzlich tlber die Brfassung bestimmter Betriebspa- 
rameter noch eine Information ilber die tats§.chliche NUtzxxng des 
Gerates bzw. der Einrichtung wShrend der Anwesenheit am Einsat- 
zort erlangt werden kann. 

Die vorliegende Erf indung. betrif f t weiterhin ein Verf ahren zum 
Erfassen und gesicherten Speichern wenigstens eines ersten Er- 
fassungswertes wenigstens einer ersten Erf assungsgrSSe, bei dem 
die erste ErfassungsgrdSe im wesentlichen kontinuierlich er- 
fasst wird und der erste Erfassungswert in einer Sicherheit- 
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seinrichttmg gespeichert wird. Der erste Erfassungswert wird 
dabei in einetn. ersten Speicher der Sicherheitseiiirlchtmig vor 
xjnbefugtem Zugriff gesichert gespeichert. Erf indungsgemas ist 
vorgesehen dass bei einem Zugriff auf die Sicherheitseinrich- 
tung ilber eine erste Schnittstelleneinrichtung/ insbesondere 
bei einem Zugriff zum Auslesen des ersten BrfassxmgswerteiS aus 
dem ersten Speicher, eine Oberprufung der Zugriff sberechtigung 
auf die Sicherheitseinrichtung erfolgt. Insbesondere erfolgt 
eine UberprCifung der .Zugriff sberechtigung auf den ersten Spei- 
cher . 

Mit dem erf induhgsgemaiSen Verfahren lassen sich die oben be- 
reits beschriebenen Vorteile und Funktionen der erf ind\mgsgema- • 
Sen Anordnung in dem oben ausfiihrlich beschriebenen MaJSe erzie- 
len, sodass diesbez-tiglich lediglich auf die obigen Ausfxihsningen 
verwiesen werden soil. Auch hinsichtlich der bevorzugten Vari- 
anten des erf indungsgemaSen Verfahrens soli hier lediglich auf 
die oben ausftlhrlich bescbriebene Funktionsweise der Ausgestal- 
tungen der erf indungsgemSiSen Anordn\ang verwiesen werden. 

Weitere bevorzugte Ausgestaltungen der Erfindung ergeben sich 
aus den Untereuisprtlchen bzw. der nachstehenden Beschreibiing 
bevorzugter AusftUirungsbeispiele, welche auf die beigef^igten 
Zeichn\mgen Bezug nimmt . Es zeigen 

Figur 1 ein Blockschaltbild einer bevorzugten Ausfiihrungsf orm 
der erf indungsgeraaSen Anordnung zur D\irchf(lhrung des 
erf indxingsgemalSen Verfahrens; 

Figur 2 ein Blockschaltbild einer bevorzugten Aus fiUmmgs form 
des erf indungsgemaSen Systems mit der erf indungsgema- 
Sen Anordnung aus Figur 1; 

Figur 3 ein Blockschaltbild einer weiteren bevorzugten Ausftih- 
r\ingsform des erf indungsgemalSen Systems; 
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Figur 4 ein Blockschaltbild einer bevorzugten Ausftlhrungsfoann 
des erfindungsgeraaiSen Systems; 

Figur 5 eixi Blockschaltbild einer weiteren. bevorzugten Ausftih- 
rungsform des erf indiingsgetnaSen Systems. 

Figur 1 zeigt ein- bevorzugtes Ausfilhrungsbei spiel der erfin- 
diingsgemaiSen Anordnung 1 zur Durchffihriing des erf indiingsgemafien 
Verfalirens. Die Jtoordnung 1 dient zum Erfassen und gesicherten 
Speichem eines ersten Verbrauchswertes des Verbrauchs eines 
ersten Verbrauchsgutes . Der erste Verbrauchswert stellt dabei 
den ersten Erf assungswert dar, wiJarend der Verbrauch des ersten 
Verbrauchsgutes die erste Erf assungsgrdfie reprasentiert . Im 
vorliegenden Beispiel handelt es sich dabei urn den Stromver- 
brauch, der em einer Stromleitung 2 erfasst wird. 

Die Anordnung 1 umfasst. eine erste Erf assungseinricht\ang 3 zur 
Erfasstang des ersten Verbrauchswertes und eine mit der ersten 
Erf assungseinrichtung 3 verbundene • Sicherheitseinrichtung in 
Form i^ines Sicherheitsmoduls 4. Die erste Erf assimgseinrichtung 
3 iimfasst eine mit dem Sicherheitsmodul 4 verbundene Erf as - 
STmgseinheit in Form einer Messeinrichtung 3.1, die in bekann- 
ter Weise zur im wesentlichen kontinuierlichen Messimg des 
Stromverbrauchs ausgebildet ist. 

Das Sicherheitsmodul 4 umfasst wiederum eine Verarbeitungsein- 
heit 5, einen damit verbundenen ersten Speicher 6 sowie eine 
mit der Verarbeitungseinheit 5 verbundene erste Schnlttstellen- 
einrichtung 7 . Die von der Erf assungseinrichtung 3 erf assten 
Verbrauchswerte werden an die Verarbeitxangseinheit 5 libermit- 
telt, .welche diesen dann im ersten Speicher 7 ablegt. Dabei 
werden im ersten Speicher mehrere nacheinander erfasste erste 
Verbrauchswerte gespei chert . Ober die erste Schnittstellenein- 
richtung 7 kann auf das Sicherheitsmodul, insbesondere auf den 
ersten Speicher zugegriffen werden, um insbesondere die ersten 
Verbrauchswerte aus dem ersten Speicher 6 auszulesen. 
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Das Sicherheitsmodul 4 ist zum vor unbefugtem Zugrif f gesicher- 
ten Speichern des era ten. Verbrauchswerts In dem ersten Spelcher 
6 ausgebildet. Hlerzu weist es zum einen ein entaprechend pby- 
sikalisch gesichertes Gehause auf , zum anderen erfolgt aber 
auch durch die Verarbeitungseinheit eine Oberprtifiing der Zu- 
grif fsberechtigung auf das Sicherheitsmodul 4. Die tiberpirtifung 
kann sich dabei auf einzelne, entsprechend sicherheitsrelevante " 
Bereiche des Sicherheitsmoduls 4 beschranken. Im vorliegenden 
Beispiel erstreckt sie sich jedoch auch auf die Uberprufung der 
Zugrif fsberechtigung fttr sSmtliche Bereiche des Sicherheitsmo- 
duls 4. Hierdiarch wird ein erhohter Schutz vor unerkannter un- 
befugter Manipulation der gespeicherten Verbrauchswerte er- 
zielt. 

Urn eine weitere Absicherung der gespeicherten Verbrauchswerte 
zu erhalten, werden die ersten Verbrauchswerte in einer Weise 
gespeichert, dass nicht autorisierte Manipulationen an den ge- 
speicherten Verbrauchswerten erkennbar sind. So keum der Ver- 
brauchswert beispielsweise zusammen rait einer \anter Verwendung 
des Verbrauchswerts erzeugten Authentif izierungsinf ormation, 
wie beispielsweise einem so genannten MAC (Message Authentif i- 
cation Code) > einer digitalen Signatur oder dergleichen gespei- 
chert werden, die in einem Bereich des Sicherheitsmoduls 4 er- 
zeugt wird, f-CLr den die Zugrif fsberechtigung Gberprdft wird. 
Hierdurch wird erreicht, dass eine unbefugte Manipulation <der 
gespeicherten Verbrauchswerte zum einen entweder mangels Zii.- 
grif f -Ciberhaupt nicht mfiglich ist oder bei einer Oberprafvmg 
zumindest nicht unerkannt bleibt. 

Die tiberprxlfung der Zugrif fsberechtigung durch die Verarbei- 
tiingseinheit 5 erfolgt unter Einsatz kryptographischer Mittel. 
Hierbei erfolgt im Rahmen einer gegenseitigen Authentif izienmg 
der Kommunikationspartner eine CberprQfung digitaler Signaturen 
unter Verwendung entsprechender kryptographischer Zertifikate. 
Dies ist von besonderem Vorteil, da derartige kryptographische 
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Verfahren einen besonders hohen Sicherheitsstandard gewS-hrlei- 
sten. 

Hierzu ist ein rait der. Verarbeifungseinheit 5 verbundenes Kryp- 
tographiemodul 8 vorgesehen/ welches dazu ausgebildet ist, der 
Vercurbeitomgaeiiiheit 5 unter Verwend\mg wenigstena erstear Kryp- 
tographiedaten kryptographische Mittel fiir wenigstens eine Si- 
cherheitsanwendiing zur VerfCigung zu stellen. Die ersten Krypto- 
graphiedaten sind dabei in einetn f iinf ten Speicher 8 . 1 des Kryp- 
tographiemoduls 8 gespeichert . Die ersten Kryptographiedaten 
umfassen einen ersten kryptographischen Algorithmus,' und einen 
Oder mehrere kryptographischen Schliissel sowj" /^xn. oder mehrere 
kryptographische Zertifikate entsprechender 2iv^\gif izienxngsin- 
stanzen sowie ein oder mehrere eigene kryptographische Zertifi- 
kate des Sicherheitsmoduls 4. 

Das Kryptographiemodul 8 kann zum ein6n zur Verschlfisselung zu 
speichemder Daten verwendet werden als auch zur VerschlCLsse- 
lung zu sendender Daten. Beispielsweise kdxmen die Daten, die 
Clber die erste Schnittstelle 7 ausgelesen bzw. flbertragen wer- 
den, durch ein entsprechendes krypto§raphisches Verfahren mit 
dem gespeicherten kryptographischen Algorithmus verschiasselt 
werden. Bs versteht. sich, dass je nach Anwendung, also bei- 
spielsweise je nachdem, ob Daten versandt oder gespeichert wer- 
den sollen, . auch unterschiedliche kryptographische Verfahren 
angewendet werden kSnnen. 

Das Sicherheitsmodul 4 ist zum Austausch wenigstens eines Teils 
der ersten Kryptographiedaten ausgebildet, um durch entspre- • 
chende Updates eine einfache und dauerhaft zuveria.ssige Siche- 
rung der Daten zu gew^hrleisten. Hierbei ist es insbesondere 
m6glich, dass neben den im filnften Speicher 8.1 abgelegten 
kryptographischen Schliisseln und kryptographischen Zertifikaten 
auch der jeweils verwendete kryptographische Algorithmus ausge- 
tauscht wird, urn das System an ge^nderte Sicherheitsanforderun- 
gen anpassen zu k&nnen. 
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Die Implement ierung und der Austausch. der Kryptographiedaten 
erfolgt iinter Nutzxing der ersten Schnittstelleneinrichtung 7 im 
Rahmen einer so genaimten Public Key Infrastructure (PKI) . Wei- 
terhin ist eine entsprechende Routine zur tSberpriifvmg der Vali- 
ditlLt der verwendeten kryptographischen Zertifikate durch ge- 
eignete Oberprtlfungsroutinen vorgesehen. « 

FGr die Anordnung 1 sind zwei unterschiedliche Zugrif f sberech- 
tigungsstufen vorgesehen,' die mit unterschiedlichen Zugriffs- 
rechten auf das Sicherheitsmodul 4 verkntipft sind, um eine 
hierarchische Struktur mit unterschiedlich weit gehenden Zu- 
grif fsrechten zu implementieren. So ist dam Benutzer der Anord- 
niing' 1, also dem Verbraucher , auf der untersten Zugrif fsberech- 
tigungsstufe als einzige Zugrif fshandlung erlaubt, den gespei- 
cherten Verbrauchswert liber eine lokale Schnittstelle 9 aus dem 
ersten Speicher 6 auszulesen, wShrend einem Administrator auf 
einer hSheren Zugrif fsberechtigungsstufe neben dem Auslesen des 
Verbrauchswerts aus dem ersten Speicher 6 die Modifikation wei- 
terer Kontponenten des Sicherheitsmoduls 4 m6glich ist. 

Die Verarbeitungseinheit 5 ist weiterhin zum Speichem des er- 
sten Verbrauchswerts im ersten Speicher 6 verkniipft mit einer 
fiir den Erf assungszeitpunkt des ersten Verbrauchswerts charedc- 
teristischen Erf assiangszeitkennimg ausgebildet. Durch diese 
haufig auch als Zeitsterapel bezeichnete Verkniipfung des gespei- 
cherten ersten Verbrauchswerts mit dem Zeitpunkt seiner Erf as - 
sung wird die Weiterverarbeitimg des Verbrauchswerts, bei- 
spielsweise zu Zwecken der Abrechnung aber auch zu Zwecken der 
Statistik etc. deutlich erleichtert. 

Zur Ermittliing der Erf assungszeit umfasst das Sicherheitsmodul 
4 ein mit der Verarbeitungseinheit 5 verbimdenes Zeiterfas- 
sungsmodul 10. Hierbei handelt es sich urn eine integrierte 
Echtzeituhr, die in regelmasigen AbstSnden^ beispielsweise beim 
Kontakt mit einer externen Datenzentrale, mit einer entspre- 
chend genauen Zeitguelle synchronisiert wird. 
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Sowohl der gespeicherte erste Ve'rbrauchswert als auch die Er~ 
fassungszeitkennung werden durch <iie Verarbeitungseinheit 5 
unter Zugriff auf das Kryptographiemodul 8 abgesichert. Dies 
erfolgt dadurch, dass eine digitale Signatur ilber dem Ver- . 
brauchswert und der zugehorigen Erfass\mgszeitkenn\mg erstellt 
wird. Hierdurch wird sichergestellt, dass mibereclitigte Manipu- 
lationen an den so abgesicherten Daten bei einer sp§.teren Ober- 
prtifung festgestellt werden konnen. 

Die Verarbeitungseinheit 5 weist einen ersten Betriebsmodus void 
einen zweiten Betriebsmodus auf, zwischen denen, veranlasst 
durch einen Umschaltbef ehl , umgeschaltet' werden kann. Die Ver- 
arbeifungseinheit 5 ist dabei zur. Uberprufung eines Umschalt- 
kriteriums vmd zur Erzeugimg des Umschaltbef ehl s in Abhangig- 
keit vom Ergebnis der Oberprilfung des Umschaltkriteriums ausge- 
bildet. Das- Umschaltkriterium ist in einem mit der Verarbei- 
t\ingseinheit verbundenen zweiten Speicher 11 gespeichert. 

Hiermit iassen sich in einfacher Weise Anwendxingsszenarien rea- 
lisieren, bei denen die Aaordnung in AbhcLngigkeit vom Eintreten 
vorgegebener oder vorgebbarer Bedingungen unterschiedliche ' 
Funktionen ausf-Qhrt. So kann beispielsweise bei Eintreten ent- 
sprechender vorgegebener oder vorgebbarer Bedingixngen eine Be- 
nachri"chtig\xngsroutine initiiert werden, mit welcher der Ver- 
braucher -des Verbrauchegutes , der Anbieter des Verbrauchsgutes 
Oder ein Dritter vom Eintreten der Bedingung in Kenntnis ge- 
setzt wird. Dies kcum fiber beliebige Benachrichtigungsmittel , 
wie optische oder edciistische Anzeigen, E-Mail, Fax, SMS etc. 
erfolgen. So kann der Verbraucher beispielsweise iiber einen ' 
imgew6hnlich hohen oder vom iiblichen Verbrauchsprof il abwei- 
chenden Verbrauch oder das tiberschreiten eines von ihm selbst 
gesetzten Verbrauchlimits informiert werden. 

Im vorliegenden Beispiel. ist eine mit der Verarbeitungseinheit 
verbundene, wenigstens in dem zweiten Betriebsmodus von der 
Verarbeitungseinheit angesteuerte Verbrauchsbeeinf lussungsein- 
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richtiing in Form eines Schalters 3.2 zur Beeinflussung des Ver- 
brauchs des ersten Verbrauchsgutes durch Sperren des Verbrauchs 
vorgesehen. Durch diesen Schalter 3.2 kaiin beim Eintreten be- 
stirnmter Bedingungen, beispielsweise detn Unterschreiten eines 
bestimmten Guthabens, dem tlberschreiten eines bestimmten Kre- 
ditrahmens oder dem tiberschreiten eines bestinunten Verbrauchs- 
werts, das Sperren des Verbrauchs erfolgen. Dabei ist vorgese- 
hen, dass rec'htzeitig vor Eintreten dieser Bedingung eine der 
oben beschriebenen Benachrichtigungsroutinen eingeleitet wird, 
um den Verbraucher iiber die drohende Sperrung zu informieren. 

Das Umschaltk/, ^'''^-UjinJ.st durch Zugriff fiber die erste Schnitt- 
Btelleneinrichtuiig 7 auf den zweiten Speicher 11 vorgebbar und. 
ver&aderbar, um das Umschaltkriterium beeinflussen zu kSnnen 
bzw. auf geanderte Utnstande reagieren zu konnen. 

Das Sicherheitsmodul 4 umfasst weiterhin ein mit der Verarbei- 
tungseinheit 5 verbundenee Quittungsraodul 12 mit einem dritten 
Speicher 12.1; Die Verarbeitungseinheit 5 erstellt unter Zu- 
griff auf das Quittungsmodul 12 eine erste Quittung fUr jeden 
Zugriff auf das Sicherheitsmodul 4 . Insbesondere wird eine 
Quittxing fflr jeden Zugriff auf den ersten Speicher 6 erstellt. 
Die Verarbeitungseinheit 5 speichert die erste Quittung dann in 
dem dritten Speicher 12.1. Hierdurch wird der Zugriff auf das 
Sicherheitsmodul 4 dokumentiert und kann gegebenenfalls zu ei- 
nem spateren Zeitpunkt ausgewertet werden. 

Auch hier erfolgt wieder ein vor unbefugtem Zugriff gesichertes 
Speichem der Quittung sowie die Absicherung der Quittung durch 
kryptographische Mittel, wie sie bereits oben ausfiihrlich be- ■ 
schrieben wurden, sodass an dieser Stelle nur auf die obigen- 
Ausf tihrxingen verwiesen werden soli . 

Die Verarbeitungseinheit speichert die Quittiang im zweiten 
Speicher 12.1 verkn-flpft mit einer fihx den Zugreifer charakteri- 
stischen Zugreiferkennung. Bei dieser Zugr«if erkenniang handelt 
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es sich urn eine zweite digitale Signatxar des Zugreifers, die 
tlber der Quittiangsinformation erzeugt wird. Hiertnit kSrnien die 
im Rahmen solcher Zugriffe vorgenoramenen Modifikationen der 
Anordnimg 1, insbesondere des Sicherheitsmoduls 4 einzelnen 
Zugreifem zugeordnet werden. 

Die Quitt\ahg wird zudem mit einem Zeitstempel versehen und ge- - 
speichett. Hierzu greift die Verarbeitxingseinheit auf das Zei- 
terfassungsmodul 10 zu wad erstellt eine fiir den Zugriffzeit- 
punkt charakteristische Zugrif f szeitkennung, die mit der Quit- 
tung verknupft wird. Auch hier werden wieder dieselben MaEnah- 
men, insbesondere dieselben Sicherungsmafinedimen ergriffen, wie 
sie bereits oben im Zusammenheuig mit der Erf assungszeitkennung 
beschrieben wurden. So wird die Zugrif f szeitkennung in die 
zweite digitale Signatur mit «inbezogen. 

Das Sicherheitsmodul 4 weist zur Auswahl eines Anbieters des 
ersten Verbrauchsgutes ein mit der Verarbeit\angseinheit 5 ver- 
bundenes Auswahlmodul 13 auf . Die Verarbeitxmgseihheit 5 spei- 
chert den ersten Verbrauchswert im ersten Speicher 6 in diesem 
Fall verkniipf t mit einer fiir den ausgewiJtilten Anbieter des er- 
sten Verbrauchsgutes charakteristischen Anbieterkennung . Hier- 
durch ist es m6glich, nach bestimmten Kriterien einen bestimm- 
ten Anbieter auszuwi-hlen und diesem Anbieter die ermittelten 
Verbrauchswerte zuzuordnen, urn sie beispielsweise spater gegen- 
■Qber diesem Anbieter abzurechnen. 

•Der Verbraucher kann uber die zweite Schnittstelle 9 nach Be- 
lieben einen bestimmten Stromlie'f eranten auswahlen, dem die 
nach der Auswahl erfassten Verbrauchswerte in der beschriebenen 
Weise zugeordnet werden. Auch hier ist wieder vorgesehen, dass 
die Verarbeitungseinheit 5 die Anbieterkenaiung dadurch absi- 
chert/ dass sie diese in die erste digitale Signatur (User den 
jeweiligen Verbrauchswert einbezieht. Alternativ kann eine" ge- 
sonderte vierte digitale Signatur liber der Anbieterkennung er- 
f olgen . 
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Die Verarbeitungseinheit 5 ilberpriift zur Auswahl ein Auswahl- 
kriterium und wShlt einen Anbieter in AbhSngigkeit votn Ergebnis 
dieser tSberpriifung aus, wobei das Auswahlkriterium in einem mit 
der Verarbeitungseinheit 5 verbundenen vierten Speicher 13 . 1 
des Auswahlmoduls 13 gespeichert ist. Dieses Auswahlkriterium 
kann, wie oben erw^hnt, durch den Verbraucher durch AuswAhl 
eines Anbieters vorgegeben werden. Alternativ kann der Verbrau- 
cher auch einen Modus wahlen, mit dem die Verbrauchskosten mi- 
nimiert werden. Hierbei wird durch Vergleich von im vierten 
Speicher 13.1 gespeicherten Gebiihrentabellen unterschiedlicher 
Anbieter derjenige Anbieter ausgewahlt, der das Verbrauchsgut 
zum aktuellen Zeitpunkt zum gilnstigsten Preis anbietet. Diese 
Abfrage kann in vorgegebenen Interval len erfolgen. Zudem kann 
eine regelinaSig von der Verarbeitxangseinheit 5 initiierte Ak- 
tualisierung der Gebfihrentabellen ebenso vorgesehen sein wie 
regelmalSige Updates seitens der Anbieter, die tlber eine ent- 
sprechende Konmninikationsverbindung zur Verarbeitungseinheit J5 
gelangen. 

Um die Auswahl durch den Verbraucher auch zu einem spS.teren 
Zeitpunkt noch nachvollziehen zu kdnnen, ist vorgesehen, dass 
die VerarbeitTingseinheit 5 den ersten Verbrauchswert im ersten 
Speicher 6 verkniipft mit einer .fttr den auswahlenden Benutzer 
charakteristischen Benutzerkennung ablegt. Auch hier k6nnen 
wieder die oben beschriebenen Absicherungsmechanismen verwendet 
werden. Auch hier ist wieder vorgesehen, dass die Verarbei- 
tungseinheit 5 die Benutzerkennxmg dadiarch absichert, dass sie 
diese in die erste digitale Signatur uber den jeweiligen Ver- 
brauchswert einbezieht. Alternativ kann eine gesonderte fCLnfte 
digitale Signatiif iiber der Benutzerkennung erfolgen. 

Die erste Erf assungseinrichtung 3 und das Sicherheitsmodul 4 
sind in einer vor unbefugtem Zugriff geschxitzten sicheren Umge- 
bung 14 angeordnet, um den unbefugten Zugriff nicht nur auf die 
Daten des Sicherheitsmoduls 4 sondern auch auf die Daten, die 
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von und zu der ersten Brfassungseinrichtimg 3 gelief ert werden, 
wirksam zu unterbinden. 

Die sichere Umgebung 14 wird zum einen phyeisch durch sichere 
Gehause der ersten Erfassxingseinrichtxjiig 3 und des Sicherheits- 
moduls 4 hergestellt, die mit hinianglich bekaimten Mittql zur 
Erfassung von Manipulationen am Gehause ausgestattet sind..Zum 
anderen wird sie logisch durch ein entsprechend abgesichertes 
Komraunikationsprotokoll zwischen der ersten Erf assungseinrich- 
tung 3 \and dem Sicherheitsmodul 4 hergestellt. So wird bei je- 
der Konvmunikation zwischen der ersten Erf assungseinrichtung 3 
land dem Sicherheitsmodul 4 iiber eine entsprechend starke gegen- 
seitige Authentif iziervmg ein gesicherter Kommunikationskanal ' 
aufgebaut. Es versteht sich, dass die erste Erf ass\ingseinrich- 
t\xng 3 hierzu "Ciber entsprechende Koninvunikationsmittel verfugt, 
welche die beschriebenen .Sicherheitsfunktionalitaten zur Verfii- 
gung stellen. 

Figur 2 zeigt ein Blockschaltbild einer bevorzugten AusfCih- 
rungsfoirm des erf indungsgemafien Systems mit der erf indiangsgema^ 
Sen Anordnung 1 aus Figur 1 \ind einer entfemten Datenzentrale 
15. 

Die erste SchnittstelleneinrichtTmg 7 des Sicherheitsmoduls 4 
ist als erste Kbramunikationseinrichtung ausgebildet. Weiterhin 
weist die Datenzentrale 15 eine zweite Koramunikationseinrich- 
tung 16 auf . Ober die erste KommunikationseinrichtTmg 7 vind die 
zweite Kommunikationseinrichtung 16 kemn eine erste Komraunika- 
tionsverbindung zwischen dem Sicherheitsmodul 4 tmd der Daten- 
zentrale 15 hergestellt warden. Hierdurch ist es moglich, aus 
der entfernten Datenzentrale auf die Anordnung- 1, insbesondere 
das Sicherheitsmodul ■ 4, zuzugreifen, die gespeicherten ersten 
Verbrauchswefte auszulesen und in der Datenzentrale 15 weiter 
zu verarbeiten. Ebenao ist es bei entsprechender ' Zugrif f sbe- 
rechtigung natiirlich mdglich, tiber die Datenzentrale 15 das 
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Verhalten der Anordnung 1 zu beeinf lussen, wie es oben bereits 
beschrieben wurde. 

Die sichere Umgebimg' 14 ist im gezeigten Beispiel durch ein 
ezitsprechend abgesichertes Kommunikationsprotokoll zwlscben der 
ersten Kotnmunikationseinrichtimg 7 und der zweiten Koiramuiikati- 
onseinrichtung 16 auf die Datenzentrale 15 ausgedehnt . Ein sol- 
ches Kommianikationsprotokoll wurde oben bereits ira Zusammenhang 
mit der Kotnmrinikation zwischen dem Sicherheitsmodul 4 und der 
Erfassungseinrichtung 3 beschrieben, sodass hier nur auf die 
obigen Ausf-Qhrungen verwiesen- werden soil. 

Die Datenzentrale 15 speicbert die ausgelesenen Verbrauchsdaten 
und halt sie so filr die weitere Verarbeitung bereit. Die Verar- 
beitiing kann in einer weiteren entfemten Datenzentrale, bei- 
spielsweise des Anbieters des entsprechenden Verbrauchsgutes 
erfolgen, an welche die Verbrauchsdaten dann weitergegeben wer- 
den. Im gezeigten Beispiel verarbeitet die Datenzentrale 15 
diese ausgelesenen Verbrauchsdaten selbst . 

Hierbei erfolgt €iber die Datenzentrale 15 die Verbrauchsabrech- 
n\ing. Die Datenzentrale 15 erstellt in Abh^ngigkeit von den 
Speicherinhalten des ersten Speichers eine Abrechnungsinf orma- 
tion, die dem Verbraucher auf ilblichem Wege mitgeteilt wird. Im 
Falle von Verbrauchem, die an einem Abbuch\ingsverfahren teil- 
nehmen, ist die Datenzentrale 15 direkt rait den betreffenden 
Banken 17.1 -und 17.2 der betreffenden Verbraucher verbunden. 

Die Datenzentrale 15 kann von dem Stromanbieter betrieben wer- 
den. Es versteht sich jedoch, dass die Datenzentrale 15 auch 
von einem Dritten betrieben werden kann, der diese Abrechnungs- 
dienste dem Stromsuibieter z\ir Verfflgung stellt. 

Wie bereits erwShnt, ist bei entsprechender Zugrif f sberechti- 
giang vorgesehen, dass -Qber die Datenzentrale 15 das Verhalten 
der Anordnung 1 beeinf lusst wird. Die Datenzentrale gibt in 


m/nw 021115 


- 33 - 


diesem Fall das oben beschriebene Umschaltkriterium vor oder 
ver&ndert dieses. 

Dabei ist \inter anderera vorgesehen, dass bei Eintreteh bestiram- 
ter Bedingungen der Stromverbrauch durch die Datenzentrale 15 
imterbunden wird. Bei Einsatz des Systems in einem so geijannten 
Vorauszahlungs system oder Prepaid -System kann dies der Pall 
sein, wenn ein bestimmtes Miniraalguthaben unterschritten wird. 
Hierzu kann in Verbindung mit der Anordniang 1 der Stromver- 
brauch diirch den Schalter 3.2 gesperrt werden. 

Das Umschaltkriterium ist dann das Feststellen des Unterschrei- 
tens einer in der Datenzentrale 15 gespeicherten Guthabengrenze 
durch das aktuelle im zweiten Speicher 12.1 gespeicherte Gutha- 
ben. Sobald das Eintreten dieser Bedingiang in der Datenzentrale 
15 erfasst wird, sendet diese einen entsprechenden Utnschaltbe- 
f ehl an das Sicherheitsmodul 4 . 

Wie bereits oben im Zusammenhang mit der Anordnvmg 1 beschrie- 
ben kann auch hier eine entsprechende Vorwamroutine implemen- 
tiert sein, welche den Verbraucher rechtzeitig vor der Sperning 
warnt. Dem Verbraucher ist zudem eine M6glichkeit zur einfachen 
und schnellen Abwendvmg oder Aufhebung der Sperrung gegeben. 
Die Datenzentrale weist hierzu eine dritte Koramiinikationsein- 
richtung 18 auf , Ckber die eine zweite Koraraunikationsverbindxing 
zum Verandern des aktuellen im zweiten Speicher 12.1 gespei- 
cherten Guthabens herstellbar ist. So kann beispielsweise eine 
Express zahlTong per Handy durch entsprechende Dienste oder Ahn- 
liches vorgesehen sein. 

In der Datenzentrale 15 werden neben den Verbrauchswerten \inter 
anderem auch saratliche anderen, im Sicherheitsmodul 4 . erzeugten 
Daten gespeichert und verarbeitet". Insbesondere werden fur spa- 
tere Nachweise der Auswahl eines Anbieters die Auswahlkennungen 
und mit der Auswcihl verkniipften Benutzerkennungeh gespeichert 
\jnd gegebenenfalls weiter-verarbeitet . 
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Im Falle eines dauerhaften Ausfalls der Koramunikationsverbin- 
dvmg zwisohen einer der Datenzentralen 15, 19 und dem Sicher- 
heitsmodul 4 kdnnen die im ersten Speicher gespeicherten Daten 
auch lokal ausgelesen werden. Hierzu kaim ein Lesegerit 26 -CSber 
eine entaprechende Schnittstelle an das Sicherheitsmodul 4 an- 
geschlossen werden. Auch hier erfolgt natflrlich wieder elne 
entsprechende Pr<ifung der Zugrif f sberechtigung. 

Figur 3 zeigt ein Blockschaltbild einer .weiteren bevorzugten 
Ausf-iilxrungsform des erf indungsgemSSen Systems tnit der erfin- 
dungsgemaSen Anordnung 1, deren Sicherheitsmodul 4 mit zwei 
entfernten Datenzentralen 15 und 19 verbunden ist. 

Die Anordnung 1 wurde dabei lediglich urn eine mit dem Sicher- 
heitsmodul 4 verbundene zweite Erf assungseinrichtung 20 und 
eine ebenfalls mit dem Sicherheitsmodul 4 verbxindene dritte 
Erf assungseinrichtung 21 erweitert, die beide in der sicheren 
Umgebung 14 angeordnet sind. Die erste Erfassungseinrichtung 3 
und die zweite Erfassungseinrichtung 20 erfassen den Stroraver- 
brauch in getrennten Wohneinheiten eines Hauses, wahrend die 
dritte Erf assungseinrichtving 21 zentral den Gasverbrauch einer 
Zentralheizung des Hauses erf asst. 

Die erfassten Verbrauchswerte werden im ersten Speicher 6 des 
Sicherheitsmoduls 4 gespeichert. Dabei wird mit den Verbrauchs- 
werten unter anderem eine Erf assungseinrichtungskennung f'flr die 
jeweilige Erfassungseinrichtung, d. h. den jeweiligen Verbrau- 
cher, und eine Verbrauchsgutkennung ftlr das" jeweilige Ver- 
brauchsgut verkmupft. Diese Daten werden zudem in der oben be- 
reits beschriebenen Weise durch Einbeziehung in eine erste di- 
gitale Signatur -iiber diese Daten kryptographisch abgesichert , 

Die Stromverbrauchswerte der beiden Wohneinheiten werden an die 
erste Datenzentrale' 15 libersandt und dort in der oben beschrie- 
benen Weise weiterverarbeitet und abgerechnet. Die Gasver- 
brauchswerte werden an die zweite Datenzentrale 19 gesandt. 
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dort aufbereitet und an eine dritte Datenzentrale 22 des Gasah- 
bietera yersandt, der den Verbrauch dann abrechnet, wobei die 
dritte Datenzentrale 22 gegebenenfalls direkt mit einer Bank 23 
des Verbrauchers verboinden ist . • 

Das Sicherheitsmodul 4 vaxd die erste Datenzentrale 15 befiinden 
sich in einer sicheren Umgebung 24, die unter anderem durch 
eine entsprechend sicheres Koramunikationsprotokoll zwischen dem 
Sicherheitsmodul 4 und der ersten Datenzentrale 15 hergestellt 
ist. Die Kotntnunikation erfolgt hierbei fiber eine Standleitimg 
24.1. 

Das Sicherheitsmodul 4 und die zweite Datenzentrale 19 befinden 
sich ebenfalls in einer sicheren Umgebung 25, die auch hier 
unter anderem durch eine entsprechend sicheres Koramunikations- 
protokoll zwischen dem Sicherheitsmodul 4 und der zwfeiten Da- 
tenzentrale 19 hergestellt ist. Die Koiraaunikation erfolgt in 
dieseip Pall -Bber eine Punkverbindung 25.1. 

Figur 4 zeigt ein Blockschaltbild einer weiteren bevorzugten 
Ausf-Qhrungsform des erf ind\mgsgemalSen Systems mit einer erf in- 
dungsgem&Sen Anordnung 1' , deren Sicherheitsmodul 4' mit einer 
entfemten Datenzentrale 15' verbunden ist. Der grundsatzliche 
Aufbau tond die Fimktionsweise des Systems entsprechen demjeni-r 
gen aus Figur 2, sodass hier lediglich auf die Unterschiede 
eingegangen werden soil. 

Ein Unterschied besteht darin, dass es sich bei dem zu erf as - 
senden Verbrauchswert um eine Orts information handelt. Die Mes- 
seinricht\ing der mobilen Erfassijingseinrichtiing 3' ist daher ein 
GPS-Modul 3.1', welches zugleich die Funktion eines Zeiterfas- 
sixngsmoduls erfiillt und mit einer Erf assungszeit gekoppelte 
Positionsdaten an das Sicherheitsmodul 4 liefert. Das Sicher- 
heitsmodul 4' verarbeitet diese Daten in der oben beschriebenen 
Weise \md liefert sie an die Datenzentrale 15', welche die Ab- 
rechnvtng erstellt. 
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Die Erfassiingseinrichtung 3' und das Sicherheitsmodul 4' sind 
daiik eines entsprechend abgesicherten Kommunlkationsprotokolls 
in einer sicheren Umgebiong 14' angeordnet. Gleiches gilt fiir 
das Sicherheitsmodul 4' \md die Datenzentrale 15' , die in einer 
sicheren Umgebimg 24' angeordnet sind. 

Im gezeigten Beispiel ist auch das Sicherheitsmodul 4' mobil 
gestaltet, weshalb eine feste Datenleitung 14.1' zwischen dem 
Sicherheitsmodul 4' und dem GPS-Modul 3.1' vorgesehen ist, wSh- 
rend die Koramiinikation zwischen dem Sicherheitsmodul 4' und der 
Datenzentrale 15' uber eine Funkverbindung 24.1' abgewickelt 
wird. Bs versteht sich jedoch, dass bei anderen Varianten der 
Erfindtang auch ein stationSres Sicherheitsmodul vorgesehen sein 
kann, das dann iiber eine entsprechende Funkverbindung mit der 
mobilen Erf assungseinrichtung koramuniziert , wie in der Pigur- 4 
durch den gestrichelten Pfeil 14.2' angedeutet ist. 

Mit einer solchen Einrichtung kSnnen beispielsweise die gefah- 
renen Kilometer eines Mietwagens oder dergleichen abgerechnet 
werden. Ebenso kSnnen hiermit Mautgebtihren fair mautpf lichtige 
StraSen etc. abgerechnet werden. 

Figur 5 zeigt ein Blockschaltbild einer weiteren bevdrzugten 
Ausf^ihrungsform des erf indungsgeraaiSen Systems mit einer erfin- 
dvingsgemalSen Anordnimg 1 ' ' und einer entf eimten Datenzentrale 
15 • ' . Des System wird dabei im Rahmen der Qualitatssicherung. in 
einem Supermarkt eingesetzt. 

Die Anordnung 1 • • umf asst ein Sicherheitsmodul 4 ' • , das mit 
einer ersten Erfassungseinrichtung 3 ' ' und einer zweiten Erf as- 
sungseinrichtung 20'' verbunden ist. Die erste Erfassungsein- 
richtung 3 ' ' erf asst als erste Erf assungsgroSe einen ersten 
Betriebsparameter einer ersten Betriebseinrichtung in Form ei- 
ner Gefriertruhe 27 im Verkaufsraum des Supermarkt s . Bei dem 
ersten Betriebparameter handelt es sich um die Temperatur in- 
nerhalb der Gefriertruhe 27. Die zweite Erfassungseinrichtiing 
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20 ' ' erfasst als zweite Erf ass\mgsgr6Se einen zweiten Betrieb- 
sparameter einer zweiten Betriebseinriclitung in Form eines 
Kiihlregals 28 im Verkauf sraum des Supermarkts . Bei dem ersten 
Betriebparameter handelt es sich um die Tetitperatur iimerhalb 
des K-ahlregals 28. 

•i 

Das Sicherheitsmodul 4'', die erste Erfass-ungseinrichtimg 3'', 
die zweite Erfass\mgseinrichtung 20'' und die Datenzentrale 
15' ' sind wiederum in einer sicheren Umgebung 14' ' angeordnet, 
die neben entsprechend sicheren Geha.usen der einzelnen Kompo- 
nenten durch ein entsprechendes sicheres Kotnmunikationsprotd- 
koll zwischen den einzelnen Koraponenten realisiert ist. 

Die erfassten ersten und zweiten Betriebsparameter werden im 
ersten Speicher 6 • ' des Sicherheitsmoduls 4 ' • gespeichert . Da- 
bei wird mit den Betriebsparametem unter anderem eine Erf as - 
sungseinrichtungskenming filr die jeweilige Erfassungseinrich- 
tung, d. h. die jeweilige Betriebseinrichtung, und eine Erfas- 
sungsgrSSenkennung fOr die jeweilige Erfassungsgr6Se, also den 
Betriebsparameter, verknilpft. Diese Daten werden zudem in der 
oben bereits beschriebenen Weise durch Einbeziehung in eine 
erste digitale Signatur tiber diese Daten kryptographisch abge- 
sichert . 

Die Erfasstmgswerte der beiden Betriebseinrichtxmgen werden an 
die Datenzentrale 15'' tlbersandt -und dort gespeichert bzw. wei- 
terverarbeitet . Sie konnen beispielsweise spS.ter dazu verwendet 
werden, nachzuweisen,- dass die Temperatur innerhalb der Ge- 
friertruhe 27 bzw. des .Kiihlregals 28 stets unterhalb der ge- • 
setzlich vorgeschriebenen Teniperaturen lagen. 

Der Sicherheitsmodul 4'' xiberpriift weiterhin standig, ob die 
erfassten Tempera turwerte unterhalb vorgegebener Grenzwerte 
liegen. Rechtzeitig vor Uberschreiten entsprechender Grenzwerte 
wird eine entsprechende Benachrichtigungsroutine initiiert, die 
beispielsweise das Personal des Supermarkts vor der tiberschrei- 
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t\ing der Grenzwerte warnt. Weiterhin ist vorgesehen, dass in 
dlesem Fall {User eine ezitsprechende Beeinf lussungseinrichtung 
der jeweiligen Erfassungseinrichtung Einfluss auf den Betrieb- 
sparameter genotnmen wird, indem beispielsweise durch eine ent- 
sprechende Verbindxmg mit dem Kdlilaggregat der Gefriertruhe 27 
bzw. des Riihlregals 28 eine Erhflhung der Ktihlleistung initiiert 
wird . 
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patentansprOche 

1 . Anordnung zum Erf aesen und gesicherten Speichern wenig- 
stens eines ersten Erf assungswertes wenigstens einer er- 
sten ErfasBungsgr5£e mlt wenigstens elner ersben Erf as - 
simgseinrichtung (3; 3"; 3'') zur Erfassung des ersten 
Erfassungswertes und einer mit der ersten Erf assungsein- 
richtxing (3; 3'; 3'') verbundenen Sicherheitseinrichtung 
(4; 4'; 4''), die eine Verarbeitungseinheit (5).> einen 
damit verbixndenen ersten Speicher (6; 6'') sowie eine init . 
• der Verarbeitungseinheit (5) verboindene erste Schnitt- 
stelleneinrichtimg (7) umfasst, wobei 

die Sicherheitseinrichtung (4; 4'; 4'*) zum vor \anbe- 
fugtem Zugriff gesicherten Speichern des ersten Erf as - 
sungswerts in dem ersten Speicher (6; 6'') ausgebildet 
ist, 

die erste Schnittstelleneinrichtung (7) zum Zugreifen 
auf die Sicherheitseinrichtxing (4; 4'; 4''), insbeson- 
dere zum Auslesen des ersten Erf ass\ingswertes aus dem 
ersten Speicher {6; 6'') ausgebildet ist und 

die erste Erfassungseinrichtung (3; 3'; 3'') eine mit 
der Sicherheitseinrichtung (4; 4'; 4'') verbundene Er- 
fassungseinheit (3.1; 3.1') umfasst, die zur im we- 
sentlichen kontinuier lichen Erfassxmg der ersten Er- 
fassimgsgrdSe ausgebildet ist, 

dadurch gekennzeichnet, dass 

die Verarbeitungseinheit (5) zur tiberpriifung der Zu- 
griff sberechtigimg auf die Sicherheitseinrichtting (4; 4'; 
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4 • ' ) / insbesondere der Zugrif fsberechtigung auf den er- 
sten Speicher (6; 6''), ausgebildet ist. 

2. Anordntmg nach Anspruch 1,. dadurch gekennzeichnet , dass 
die Verarbeitungseinlieit (5) zur Uberpriifung der Zu- 
grif fsberechtigung iinter Einsatz kryptographischer Mittel 
ausgebildet ist. 

3 . Anordnung nach Anspruch 1 oder 2 , dadurch gekennzeichnet , 
dass wenigstens zwei unterschiedliche Zugrif f sberechti- 
gungsstufen vorgesehen sind, die mit unterschiedlichen 
Zugriffsrechten auf die Sicherheitseinrichtung (4; 4'; 
4'') verkn^ipft sind. 

4. Anordnung nach einem der vorhergehenden Anspir^iche, da- 
durch gekennzeichnet, dass die Verarbeitomgseinheit (5) 
zum Speichem des ersten Erfassiangpwerts im erst en Spei- 
cher (6; 6"') verkn'dpft mit einer ffir den Erfassungszeit- 
punkt des ersten Erfassungswerts charakteristischen Er- 
fassungszeitkenniing ausgebildet ist. 

5. Anordnung nach Anspruch 4, dadurch gekennzeichnet, dass 
die Sicherheitseinrichtung (4; 4'; 4'') zur Ermittlung 
der Brfassungszeitkennung ein mit der Verarbeitungsein- 
heit (5) verbundenes Zeiterf assungsmodul (10) umfasst. 

6. Anordnung nach einem der vorhergehenden Ansprtiche, da- 
durch gekennzeichnet, dass die Verarbeitungseinheit (5) 
zum Absichern des gespeicherten ersten Erfassungswerts 
xand/oder der Brfassungszeitkennung durch kryptographische 
Mittel, insbesondere durch eine erste digitale Signatur, 
ausgebildet ist. 

7. Anordnung nach einem der vorhergehenden Anspriiche, da- 
d\irch gekennzeichnet, dass die Sicherheitseinrichtxing (4; 
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4«; 4« ') zum Speichem einer Anzalil yon erst en Erfas- 
svmgswerten der ersten ErfasstmgsgrdSe ausgebildet ist. 

8. Anordmmg nach einem der vorlxergehenden Ansprilche, da- 

d-urch gekennzeichnet, dass wenigstens eine zweite Erfas- 
siingseinrichtung (20; 20'') zur Erfassxang wenigstens ei- 
nes zweiten Erf assungswerts der ersten Erf assungsgrSfie 
vorgesehen ist und dass die Sicherheitseinrichtung (4; 
4 ' ' ) zum vor unbefugtem Zugrif f gesicherten Speichem des 
zweiten Erfassiingswerts in dem ersten Speicher (6; 6'') 
ausgebildet ist. 

9, Anordnung nach Anspruch 8, dadurch gekennzeichnet, dass 

die Verarbeitungseinheit (5) zum Speichem des ersten Er- 
f assungswerts verkniipft mit einer fur die erste Erf as - 
sungseinrichttjng (3; 3'') charakteristischen ersten Er- 
fassungseinrichtiongskennung und zum Speichem des zweiten 
Erf assungswerts verknfipft mit einer fttr die zweite Erf as - 
sungseinrichtung (20; 20' •) charakteristischen zweiten 
Erfassungseinrichtxingskennung ausgebildet ist. 

10. Anordnung nach einem der vorhergehenden Anspr^iche, da- 
durch gekennzeichnet, dass die erste Erf assiangseinrich- 
tung zur Erfassxing wenigstens eines dritten Erf assungs- 
werts einer zweiten Erf assungsgr6fie ausgebildet ist oder 
wenigstens eine dritte Erfassungseinrichtung (21) zur Er- 
fassxing wenigstens eines dritten Erfassungswerts einer 
zweiten Erf assxmgsgroBe vorgesehen ist und dass die Si- 
cherheitseinrichtxong (4) zum vor unbefugtem Zugrif f gesi- 
cherten Speichem des dritten Erf asstangswerts in dem er- 
sten Speicher (6) ausgebildet ist. 

11. Anordnimg nach Anspruch 10, dadurch gekennzeichnet, dass 
die Verarbeitvmgseinheit (5) zum Speichem des ersten Er- 
fassungswerts verkniipft mit einer fiir die erste Erf as - 
sungsgroiSe charakteristischen ersten Erf assungsgrSfienken- 
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nung und zuin Speichern des dritten Erfassvtngswerts ver- 
kniipft mit einer fttr die zweite Erf assungsgraiSe charakte- 
ristlschen zweiten ErfassungsgroSenkexinxxng ausgebildet 
ist. 

12 . Anordnung nach einera der vorhergehenden Anspr^che , da- 

durch gekeimzeichnet/ dass die Verarbeitungseiiiheit (5) 
wenigstens einen ersten Betriebstnodus sowie einen zweiten 
Betriebsmodus aufweist und zvaa. Umschalten zwischen dem 
ersten xxnd zweiten Betriebsmodus veranlasst diirch einen 
Umschaltbefehl ausgebildet ist. 

13 . Anordnung nach Anspruch 12 , dadurch gekennzeichnet , dass 

die Verarbeitungseinheit (5) zur tJberprxlfung eines Um- 
schaltkriteriums und zur Erzeugvmg des Umschaltbef ehls in 
Abhangigkeit vom Ergebnis der Oberprufung des Umschalt- 
kriteriums ausgebildet ist, wobei das Umschaltkriterium 
in einem mit der Verarbeitxangseinheit (5) verbundenen 
zweiten Speicher (11) gespeichert ist. 

14 . Anordnung nach Anspruch 12 oder 13 , dadurch gekennzeich- 
net, dass eine mit der Verarbeitxingseinheit (5) verbunde- 
ne, wenigstens in dem zweiten Betriebsmodus von der Ver- 
arbeitungseinheit (5) angesteuerte Beeinf lussungseinrich- 
tung (3.2) zur Beeinf lussung der ersten ErfassungsgrdSe 
yorgesehen ist. 

15 . Anordnxing nach Anspruch 13 oder 14 , dadxirch gekennzeich- 
net, dass das Umschaltkriterium dxirch Zugriff auf den 
zweiten Speicher (11)- iiber die erste Schnittstellenein- 
richtung (7) vorgebbar und/ oder verSnderbar ist. 

16. Anordnung nach einem der vorhergehenden Ansprflche, da- 
durch gekennzeichnet, dass die Sicherheitseinrichtung (4) 
ein mit der Verarbeitungseinheit verbxandenes Quittungsmo- 
dul (12) mit einem dritten Speicher (12.1) umfasst und 
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die Verarbeitiangseinheit (5) zur Erstellung einer Quit- 
tung far einen Zugrif f auf die Sicherheitseinrichtung 
(4) , insbesondere f<lr einen Zugrif f auf den ersten Spei- 
cher (6),.und zum Speichem der ersten Quittung in dem 
dritten Speicher (12.1) ausgebildet ist. 

17. Anordnung nach Anspruch 16, dadurch gekennzeichnet, dass 
die Verarbeitungseinheit (5) zuxa Speichem der Quittung 
im' zweiten Speicher verknttpf t mit einer f iir den Zugreif er 
charakteristischen Zugreif erkennxxng, insbesondere einer 
zweiten digitalen Signatur des Zugreif ers, ausgebildet 
ist. 

18. Anordnung nach Anspruch 16 oder 17, dadurch gekennzeich- 
net, dass die Verarbeitungseinheit (5) zum Speichem der 
Quittung im dritten Speicher (12.1) verkniipft mit einer 
fllr den Zugrif fzeitpunkt charakteristischen Zugrif fszeit- 
kennung ausgebildet ist. ^ 

19. Anordnxxng nach Anspruch 18, dadurch gekennzeichnet , dass 
die Sicherheitseinrichtung (4) zur Ermittlung der Zu- 
grif fszeitkennung ein mit der Verarbeitungseinheit (5) 
verbundenes Zeiterf assungsmodul (10) umfasst. 

20. Anordnung nach einem der Ansprtlche 16 bis 19, dadurch ge- 
kennzeichnet, dass die Verarbeitiingseinheit (5) zum Absi- 
chern der gespeicherten Quittung Tind/oder der Zugreif er- 
kennung und/oder der Zugrif fszeitkennimg durch kryptogra- 
phische Mittel, insbesondere durch eine dritte digitale 
Signatur, ausgebildet ist. 

21. Anordnxing nach einem der vorhergehenden Anspriiche, da- 
durch gekennzeichnet, dass die erste Erf assungsgr6Ee der 
Verbrauch eines ersten Verbrauchsgutes sowie der erste 
Erfassungswert ein erster Verbrauchswert ist und die Si- 
cherheitseinrichtung (4) zur Auswahl eines Anbieters des 
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ersten Verbrauchsgutes ein mit der Verarbeitungseinheit 
(5) verb\mdenes Auswahlmodul (13) aufweist und die Verar- 
beitxingseinheit (5) ziim Speichem. des ersten Verbrauchs- 
werts im ersten Spelcher (6) verknilpft mit einer fdr den 
ausgewahlten Anbieter des ersten Verbrauchsgutes charak- 
teristischen Anbieterkennung ausgebildet ist. ■ 

22. Anordnung nach Anspruch 21, dadurch gekennzeichnet , dass 
die Verarbeitungseinheit (5) zum Absichern der Anbieter- 
kennung durch kryptographische Mittel, insbesondere durch 
eine vierte digitale Signatur, ausgebildet ist. 

23. Anordnung nach Anspruch 21 Oder 22, dadurch gekennzeich- 
net, dass die .Verarbeitungseinheit (5) zur tJberprCifung 
eines Auswahlkriteriums und zur Auswahl des Anbieters in 
Abhangigkeit vom Ergebnis der Oberpr^ifung des Auswahlkri- 
teriums ausgebildet ist, wobei das Auswahlkriterium in 
einem rait der Verarbeitungseinheit (5) verbundenen vier- 
ten Speicher (13.1) gespeichert ist. 

24. Anordnung nach Anspruch 23, dadurch gekennzeichnet, dass 
eine mit der Verarbeitungseinheit (5) verbundene Auswah- 
leingabeeinrichtung (9) vorgesehen ist und das Auswahl- 
kriterium durch einen Benutzer iiber die Auswahl eingabe- 
einrichtung (9) durch Zugriff auf den vierten Speicher 
(13.1) vorgebbar und/oder veranderbar ist. 

25. Anordnung nach Anspruch 24, dadurch gekennzeichnet, dass 
die Verarbeitxingseinheit (5) zum Speichem des ersten 
Verbrauchswerts im ersten Speicher (6) verkniipft mit ei- 
ner fur den auswcihlenden Benutzer charakteristischen Be- 
nutzerkenniing ausgebildet ist. 

26. Anordnung nach Anspruch 25, dadurch gekennzeichnet, dass 
die Verarbeitxingseinheit (5) zum Absichern der Benutzer- 
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kennung durch kryptographische Mittel, insbesondere durch 
eine ftinfte digitale Signatur, ausgebildet ist. 

27. Anordnung nach einem der vorhergehenden Anspruche, da- 
durch gekennzeichnet , dass die Sicherheitseinrichtxing (4; 
4'; 4'') ein rait der Verarbeit\mgseinheit (5) verbimdenes 
Kryptographieraodul (8) umfasst, welches dazu ausgebildet 
ist, der Verarbeitimgseinheit unter Verwendung wenigstens 
erster Kryptographiedaten kryptographische Mittel fur we- 
nigstens eine Sicherheitsanwendung zur Verfugung zu stel- 
len, wobei die ersten Kryptographiedaten in einem fiinften 
Speicher (8.1) des Kryptographiemoduls (8) gespeichert 
sind xmd einen ersten kryptographischen Algorithmus um- 
fassen. ' 

28. Anordnung nach Anspruch 27, dadurch gekennzeichnet , dass 
die Sicherheitseinrichtimg (5) zum Austausch wenigstens 
eines Teils der ersten Kryptographiedaten, insbesondere 
des ersten kryptograf ischen Algorithmus, ausgebildet ist. 

29. Anordnung nach einem der vorhergehenden AnsprQche, da- 
dxirch gekennzeichnet, dass die erste Erf assungseinrich- 
timg (3; 3'; 3'') und die Sicherheitseinrichtung (4; 4"; 

4 ' ' ) in einer vor unbef ugtera Zugrif f geschutzten sicheren 
Umgebxing (14; 14'; 14'') angeordnet sind. 

30. Anordnung nach Anspruch 29; dadurch gekennzeichnet, dass 
die erste Erf assxingseinrichtung (3; 3'; 3'') in einem er- 
sten sicheren Gehciuse land die Sicherheitseinrichtung (4; 

4 ' ; 4 • ' ) in einem zweiten sicheren Gehause angeordnet ist 
und die Verbindung zwischen der ersten Erf assimgseinrich- 
tiang (3; 3'; 3'') xmd der Sicherheitseinrichtung (4; 4'; 
4'') zur Herstellung der sicheren Umgebung (14; 14'; 
14 ' ' ) als durch kryptographische Mittel abgesicherte Ver- 
bindung ausgebildet ist. 
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31. System rait einer Anordnung (1; 1'; !•') nach einem der 
vorhergehenden Ansprfiche, dadurch gekeimzeichnet , dass 
die Sicherheitseinrichtimg (4; 4'; 4'') wenigstens eine 
mit der Verarbeitungseiiilieit (5) verbundene erste 
Schnittstelleneinrichtting (7) zum Zugreifen auf die Si- 
cherheitseinriclit\mg (4; 4'; 4'') aufweist, die als« erste 
Kotnmunikationseiiirichtung ausgebildet ist, und dass eine 
von der Sicherheitseinrichtvmg (4; 4'; 4'') entferate Da- 
tenzentrale (15, 19; 15'; 15'') mit einer zweiten Kommu- 
nikationseinrichtung (16) vorgesehen ist, wobei die erste 
Konmvunikationseinrichtimg (7) xind die zweite Konununikati- 
onseinrichtung (16) zum Herstellen einer ersten Kommuni- 
kationsverbindung zwischen der Sicherheitseinrichtung (4; 
4'; 4'') und der Datenzentrale (15, 19; 15'; 15'') ausge- 
bildet sind. 

32. System nach Anspruch 31, dadurch gekennzeichnet , dass die 
Datenzentrale (15, 19; 15'; 15'') zum Auslesen der Spei- 
cherinhalte des ersten Speichers (6; 6'") ilber die erste 
Kommimikationsverbindimg ausgebildet ist. 

33. System nach Anspruch 32, dadurch gekennzeichnet, dass die 
Datenzentrale (15, 19; 15'; 15'') zur Erstellxmg einer 
Abrechnungsinformation in Abhangigkeit von den Speiche- 
rinhalten des ersten Speichers (6; 6'') ausgebildet ist. 

34. System nach einem der Anspr<lche 31 bis 33 mit einer An- 
ordnvmg nach Anspruch 15, dadurch gekennzeichnet, dass 
die Datenzentrale (15) zur Vorgabe \md/oder VerSnderung 
des Uraschaltkriteriums ausgebildet ist. 

35. System nach Anspruch 34, dadurch gekennzeichnet, dass die 
erste Erf assiingsgrolSe der Verbrauch eines ersten Ver- 
brauchsgutes ist und der Verbrauch des ersten Verbrauchs- 
gutes im zweiten Betriebsmodus gesperrt ist, das Um- 
schaltkriterium das Feststellen des Unterschreitens einer 
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im zweiten Speicher (11) gespeicherten Guthabengrenze 
durch das aktuelle im zweiten Speicher (11) gespeicherte 
Guthaben ist und die Datenzentrale eine dritte Kotnraunika- 
tionseinrichttmg (18) aufweist, -Qber die eine zweite Kom- 
munikationsverbindiing zum Ver&ndem des aktuellen im 
zweiten Speicher (11) gespeicherten Guthabens herstellbar 
ist. 

36. Verfahren zum Erfassen und gesicherten Speichern wenig- 
stens sines ersten Erf assungswertes wenigstens einer er- 
sten ErfassungsgroSe, bei dem die erste Erf assungsgrSSe 
im wesentlichen kontinuierlich erfasst wird und der erste 
Erfass\angswert in einer Sicherheitseinrichtung (4; 4'; 
4 • • ) gespeichert wird, wobei der erste Erf assungswert in 
einem ersten Speicher (6; 6"') der Sicherheitseinrichtung 
(4; 4'; 4'') vor unbefugtem Zugriff gesichert gespeichert 
wird, dadurch gekennzeichnet , dass bei einem Zugriff auf 
die Sicherheitseinricht\ang (4; 4'; 4'') iiber eine erste 
Schnittstelleneinrichtung (7), insbesondere -bei einem Zu- 
griff zum Auslesen des ersten Erf assungswertes aus dem 
ersten Speicher (6; 6''), eine Oberpriifung der Zugriffs- 
berechtigung auf die Sicherheitseinrichtung (4; 4'; 4''), 
insbesondere der Zugriff sberechtigxing auf den ersten 
Speicher (6; 6<'), erfolgt. 

37. Verfahren nach Anspruch 36, dadurch gekennzeichnet, dass 
die 'Oberpriifung der Zugriff sberechtigung \anter Einsatz 
kryptographischer Mittel erfolgt. 

38. Verfahren nach Anspruch 36 oder 37, dadurch gekennzeich- 
net, dass wenigstens zwei unterschiedliche Zugriffsbe- 
rechtigxingsstufen vorgesehen sind, die mit unterschiedli- 
chen Zugriff srechten auf die sicherheitseinrichtung (4; 

4 ' ; 4 ' ' ) verknflpf t sind. 
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39. Verfahren nach einem der Anspriiche 36 bis 38, dadurch ge-- 
kennzeichnet, dass der erste Erfass\mgswert verkn^ipft mit 
einer filr den Erf assungszeitpunkt des ersten Erfassungs- 
werts charsikteristischen Erfass-ungszeltkenniing im ersten 
Speicher (6; 6'*) gespeichert wird. 

1 

40. Verfahren nach einetn der Anspriiche 36 bis 39, dadurch ge- 
kennzeichnet, dass der gespeicherte ersten Erf assungswert 
und/oder die Erf assungszeitkennung durch kryptographische 
Mittel, insbesondere durch eine erste digitale Signatur, 
abgesichert wird. 

41. Verfahren nach einem der Anspriiche 36 bis 40, dadurch ge- 
kennzeichnet, dass eine Anzahl von ersten Erf assxmgswer- 
ten der ersten ErfassxingsgroSe in dem ersten Speicher (6; 
6'') gespeichert wird. 

42. Verfahren nach einem der Anspriiche 36 bis 41, dadurch ge- 
keimzeichnet, dass wenigstens ein zweiter Erfassimgswert 
der ersten Erfass\angsgr6Se erfasst und vor unbefugtexn Zu- 
griff gesichert in dem ersten Speicher (6; 6'') gespei- 
chert wird. 

43. Verfahren nach Anspruch 42, dadurch gekennzeichnet, dass 

- der erste Erfassungswert tiber eine erste Erfassungsein- 
richtung (3; 3'') erfasst wird und verknupft mit einer 
f<ir die erste Erf assimgseinrichtung (3; 3'') charakte- 
ristischen ersten Erf assungseinrichtungskennung gespei- 
chert wird und 

- der zweite Erfassungswert Ober eine zweite Erfassungs- 
einrichtung (20; 20'') erfasst wird und verkntipft mit 
einer fixr die zweite Erf assungseinrichtTing (20; 20'') 
charakteristischen zweiten Erfassungseinrichtungsken- 
nung gespeichert wird. 
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44. Verfahren nach einem der Ansprticlie 36 bis 43, dadurch ge- 
kennzeichnet , dass wenigstens ein dritter Erfassiingswert 
einer zweiten Erf assungsgrSSe erfasst und vor uribefugtem 
Zugriff gesicliert in dem ersten Speicher (6) gespeichert 
wird. 

45. Verfahren nach Anspruch 44, dadurch gekennzeichnet , dass 
der erste Erf assungswert verkniipft mit einer fur die er- 
ste Erf assungsgroiSe charakteristischen ersten Erfassungs- 
grafienkennung gespeichert wird und der dritte Erf assungs- 
wert verJoiiipft mit einer fxir die zweite Erf assungsgroSe 
charakteristischen zweiten Erfassxingsgrofienkenntuig ge- 
speichert wird. 

46. Verfahren nach einem der Anspr^iche 36 bis 45, dadurch ge- 
kennzeichnet , dass die Sicherheitseinrichtung (4; 4"; 

4 ' ' ) wenigstens einen ersten Betriebsmodus sowie einen 
zweiten Betriebsmodus aufweist und veranlasst duxch einen 
Umschaltbef ehl zwischen dem ersten und zweiten Betriebs- 
modus umgeschaltet wird. 

47. Verfahren nach Anspruch 46, dadurch gekennzeichnet, dass 
ein Umschaltkriterium <iberprTCif t und der Umschaltbef ehl in 
AbhSngigkeit vom Ergebnis der fJberprufung des Umschalt- 
kriteriums erzeugt wird. 

48. Verfahren nach Anspruch 46 oder 47, dadurch gekennzeich- 
net, dass wenigstens in dem zweiten Betriebsmodus die er- 
ste Erf assungsgroSe beeinflusst wird. 

49. Verfahren nach Anspruch 47 oder 48, dadurch gekennzeich- 
net, dass das Umschaltkriterium durch Zugriff auf die Si- 
cherheitseinrichtung (4; 4'; 4'') <iber eine erste 
Schnittstelleneinrichtung (7) vorgegeben und/oder verSn- 
dert wird. 
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50. Verfahren nach einem der Anspruche 36 bis 49, dadurch. ge- 
kennzeichnet , dass eine Quitt\ing f-Qr einen Zugriff auf 
die SicherheitseinrichtTing (4) , insbesondere f-iir einen 
Zugriff auf den ersten Speicher (6) , erstellt wird und 

. die Quittung in der SicherheitBeinrichtung (4) gespei- 
chert wird. i 

51. Verfahren nach Anspruch 50, dadurch gekennzeichnet, dass 
die Quittung verkn<ipft mit einer.fiir den Zugreifer cha- 
rakteristischen Zugreiferkennung, insbesondere einer 
zweiten digitalen Signatur des Zugreifers, gespeichert 
wird. 

52. Verfahren nach Anspruch 50 oder 51, dadurch gekennzeich- 
net, dass die Quittung verknupft mit einer filr den Zu- 
griff zeitpunkt charakteristischen Zugriff szeitkennung ge- 
speichert wird. 

53. Verfahren nach einem der Anspruche 50 bis 52, dadurch ge- 
kennzeichnet, dass die gespeicherte Quittung land/oder die 
Zugreiferkennxmg und/oder die Zugriff szeitkennxjuag durch 
kryptographische Mittel, insbesondere durch eine dritte 
digitale Signatur, abgesichert werden. 

54. VerfcQiren nach einem der Anspriiche 36 bis 53, dadurch ge- 
kennzeichnet, dass die erste BrfassungsgrSSe der Ver- 
brauch eines ersten Verbrauchsgutes sowie der erste Er- 
fassvmgswert ein erster Verbrauchswert ist, dass ein An- 
bieter des ersten Verbrauchsgutes aus einer Anzahl von 
Anbietem ausgewShlt wird, wnd dass der erste Verbrauchs- 
wert verknupft mit einer fiir den ausgewShlten Anbieter 
des ersten Verbrauchsgutes charakteristischen Anbieter- 
kennung im ersten Speicher (6) gespeichert wird. 

55. Verfahren nach Anspruch 54, dadurch gekennzeichnet, dass 
die Anbieterkennung dxirch kryptographische Mittel, insbe- 
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Bondere durch eine vierte digitale Signatur, abgesichert 
wird . 

56. Verfahren nach Anspruch 54 Oder 55, dad\irch gekennzeich- 
net, dasB ein Auswahlkriterium tlberpraft wird uad zur der 
Anbieter in AbhSngigkeit vom Ergebnis der Oberprttfiing des 
Auswahlkriteriums ausgewahlt wird. 

57. Verfahren nach Anspruch 56, dadurch gekennzeichnet , dass 
das Auswahlkriterium durch einen Benutzer durch Zugriff 
auf die Sicherheitseinrichtung (4; 4';. 4'") vorgegeben 
und/oder verandert wird. 

58. Verfahren nach Anspruch 57, dadurch gekennzeichnet, dass 
der erste Verbrauchswerts verkntipft mit einer fur den 
auswahlenden Benutzer charakteristischen Benutzerkenn\mg 
im ersten Speicher (6) gespeichert wird. 

59. Verfahren nach Anspruch 58, dadurch gekennzeichnet, dass 
die Benutzerkenntmg durch kryptographische Mittel, insbe- 
sondere durch eine fOnfte digitale Signatur, abgesichert 
wird. 

60. Verfahren nach einem der vorhergehenden AnsprCLche, da- 
durch gekennzeichnet, dass in der Sicherheitseinrichtung 
(4; 4'; 4'') unter Verwendung wenigstens erster Krypto- 
graphiedaten, die einen ersten kryptographischen Algo- 
rithmus vunfassen, kryptographische Mittel fiir wenigstens 
eine Sicherheitsanwendung zur Verf\lgung gestellt werden. 

61. Verfahren nach Anspruch 60, dadurch gekennzeichnet, dass 
wenigstens ein Teil der ersten Kryptographiedaten, insbe- 
sondere der erste kryptograf ische Algorithmus , zu vorge- 
gebenen oder vorgebbaren Zeitpunkten ausgetauscht wird. 
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62. Verfahren nach einem der Ansprilche 36 bis 61, dadurch ge- 
kemizeichnet, dass zwischen der Sicherheitseinrichtxing 
(4; 4'; 4'*) imd einer von der Sicherheitseinrichtiing (4; 
4'; 4'') entfemten Datenzentrale (15, 19; 15'; 15'') ex- 
ile erste Kommunikationsverbindung hergestellt wlrd iind 
die Datenzentrale (15, 19; 15'; 15'') die Speicherinhalte 
des ersten Speichers (6; 6'*) iiber die erste Kommunikati- 
onsverbindiing ausliest . 

63. Verfahren nach Anspruch S2, dadurch gekennzeichnet , dass 
die Datenzentrale (15, 19; 15'; 15'') zur eine Abrech- 
nungsinfortnation in AbhAngigkeit von den Speicherinhalten 
des ersten Speichers (6; 6'') erstellt. 

64 . Verfahren nach einem Anspruch 62 oder 63 und nach An- 
spimch 49, dadurch gekennzeichnet, dass die Datenzentrale 
(15) das Umschaltkriterium vorgibt oder verSndert. 

65. Verfahren nach Anspruch 64, dadurch gekennzeichnet, dass 
die erste ErfassungsgrdSe der Verbrauch eines ersten Ver- 
brauchsgutes ist und der Verbrauch des ersten Verbrauchs- 
gutes im zweiten Betriebsmodus gesperrt . ist, dass das Um- 
schaltkriterium das Feststellen des Unterschreitens einer 
gespeicherten Guthabengrenze durch das aktuelle Guthaben 
ist, void dass iiber die eine zweite Kommunikationsverbin- 
doing das aktuelle gespeicherten Guthciben veranderbar ist. 
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ZUSAMMENFASSUNG 


Anordniing ziim Erfassen und gesicherten Speichem wenigstens 
eines ersten Erf assxmgswertes wenigstens einer ersten Erfas- 
siingsgroSe mit wenigstens einer ersten Erfassungseinrichtung 

(3) zur Erfassung des ersten Erf assungswertes und einer mit der 
ersten Erfassungseinrichtung (3) verbxindenen Sicherheitsein- 
richtxing (4) , die eine Verarbeitungseinheit (5)-, einen damit 
verbundenen ersten Speicher (S) sowie eine mit der Verarbei- 
t\mgseinheit (5) verbundene erste Schnittstelleneinrichtxing (7) 
urafasst, wobei die Sicherheitseinrichtving (4) zum vor unbefug- 
tem Zugriff gesicherten Speichern des ersten Erfassiingswerts in 
dem ersten Speicher (6) ausgebildet ist, die erste Schnittstel- 
leneinrichtung (7) zum Zugreifen auf die Sicherheitseinri.chtung 

(4) , insbesondere zum Auslesen des ersten Erf assungswertes aus 
dem ersten Speicher (6) ausgebildet ist, die erste Erfassungs- 
einrichtung (3') eine mit der Sicherheitseinrichtiing (4) ver- 
bundene Erf assungseinheit (3.1) umfasst, die zur im wesentli- 
chen kontinuierlichen Erfassung der ersten Erf assungsgrSlSe aus- 
gebildet ist, und wobei die Verarbeitungseinheit (5) zur Uber- 
prQfiing der Zugriff sberechtigung auf die Sicherheitseinrichtung 
(4) , insbesondere der Zugriff sberechtigiing auf den ersten Spei- 
cher (6), ausgebildet ist. 

Fiir die Zusazomenfassting ist Fig. 1 bestlxmnt. 
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